Drupal においてリクエストパラメータの値検証不備により遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2019.04.19(金)

Drupal においてリクエストパラメータの値検証不備により遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report)

世界的なシェアを誇る CMS ソフトウェア である Drupal に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
Drupal.org
Drupal.org 全 1 枚 拡大写真
◆概要

世界的なシェアを誇る CMS ソフトウェアである Drupal に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。悪意あるユーザに脆弱性を悪用されてしまった場合、侵入されてしまう危険性や意図していない動作を強制されてしまう可能性が考えられます。アップデートにより早急に対策してください。

◆分析者コメント

Drupal 7 系と Drupal 8 系に対応したエクスプロイトコードがそれぞれ公開されており、Drupal 6 系以下に対応したエクスプロイトコードは公開されていませんが、幅広いバージョンの Drupal に影響を及ぼすものです。公開されているエクスプロイトコードでは対応していないバージョンの Drupal に対応した、非公開のエクスプロイトコードが攻撃に使われる可能性はあると考えられます。攻撃クエリが簡素であるため、Drupal が稼働しているホストに対して悪用を試みられる可能性が高いです。Drupal を利用した Web サイトを運用している場合は、早急に対策してください。

◆深刻度(CVSS)

本記事執筆時点 (2018 年 4 月 17 日) で CVSS 値の情報の公開を確認していません。

◆影響を受けるソフトウェア

以下のバージョンの Drupal が当該脆弱性の影響を受けます。

  ・Drupal 8 系: 8.5.1 未満
  ・Drupal 7 系: 7.58 未満

公式情報によると、サポートが終了している Drupal 6 系などの古いバージョンでも、当該脆弱性の影響を受けると報告されています。

◆解説

世界的なシェアを誇る CMS ソフトウェア である Drupal に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. 伝説的ハッカーグループ出身者が大統領候補に(The Register)

    伝説的ハッカーグループ出身者が大統領候補に(The Register)

  2. 複数のVPN製品に、正規ユーザになりすまされる脆弱性(JVN)

    複数のVPN製品に、正規ユーザになりすまされる脆弱性(JVN)

  3. 不正アクセスで「ショコラ ベルアメール」オンラインショップのカード情報が流出(ジェイ・ワークス)

    不正アクセスで「ショコラ ベルアメール」オンラインショップのカード情報が流出(ジェイ・ワークス)

  4. ここが変だよ日本のセキュリティ 第37回 「CSIRT体制構築ブームに、スプラッシュマウンテンの滝の音が聞こえる」

    ここが変だよ日本のセキュリティ 第37回 「CSIRT体制構築ブームに、スプラッシュマウンテンの滝の音が聞こえる」

  5. 宅配業者の不在通知メールを装ったフィッシングメールで個人情報が流出(NHK大阪放送局)

    宅配業者の不在通知メールを装ったフィッシングメールで個人情報が流出(NHK大阪放送局)

  6. 「WPA3」に弱いパスワードを取得されるなど複数の脆弱性(JVN)

    「WPA3」に弱いパスワードを取得されるなど複数の脆弱性(JVN)

  7. 通販サイト「ななつ星 Gallery」に不正アクセス、セキュリティコード含む最大3,086件カード情報流出(JR九州)

    通販サイト「ななつ星 Gallery」に不正アクセス、セキュリティコード含む最大3,086件カード情報流出(JR九州)

  8. 人事異動案に関するデータを無断で持ち出しLINEで拡散、関係した職員を懲戒処分に(吉川松伏消防組合)

    人事異動案に関するデータを無断で持ち出しLINEで拡散、関係した職員を懲戒処分に(吉川松伏消防組合)

  9. いまや攻撃サーバは海外には無い(The Register)

    いまや攻撃サーバは海外には無い(The Register)

  10. 疑問その7「CASBベンダ統廃合の過去、そして未来」~日商エレに聞く、CASBとクラウドセキュリティの疑問

    疑問その7「CASBベンダ統廃合の過去、そして未来」~日商エレに聞く、CASBとクラウドセキュリティの疑問PR

ランキングをもっと見る