Drupal の削除処理における値検証不備により遠隔から任意のコードが実行可能となる脆弱性（Scan Tech Report）

◆概要

世界的なシェアを誇る CMS ソフトウェアである Drupal に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。今回報告された脆弱性は 2018 年 3 月末に報告されたものとは異なるものです。悪意あるユーザに脆弱性を悪用されてしまった場合、侵入されてしまう危険性や意図していない動作を強制されてしまう可能性が考えられます。アップデートにより早急に対策してください。

◆分析者コメント

Drupal 7 系に対応したエクスプロイトコードが公開されており、Drupal 8 系に対応したエクスプロイトコードの公開を確認していませんが、攻撃クエリを調整することで Drupal 8 系に対応した攻撃コードが開発される可能性があります。また、当該脆弱性は削除処理が実行される箇所に幅広く影響を及ぼすため、攻撃クエリの形式も多種多様になると考えられます。投稿やユーザの削除権限を持つ Drupal のユーザの認証情報が特定されてしまった場合にのみ影響を及ぼす脆弱性ですが、同様の対策漏れが認証を必要としない別の箇所で発見され報告される可能性があります。2018 年 3 月末に報告された Drupal の脆弱性 CVE-2018-7600 を悪用した攻撃事例や被害事例が相次いで報告されている (関連情報 [4]、[5]) ため、Drupal ユーザはすぐにアップデートできる体制を整えましょう。

◆深刻度(CVSS)

本記事執筆時点 (2018 年 5 月 9 日) で CVSS 値の情報の公開を確認していません。

◆影響を受けるソフトウェア

以下のバージョンの Drupal が当該脆弱性の影響を受けます。

  ・Drupal 8 系: 8.5.3 未満
  ・Drupal 7 系: 7.59 未満


◆解説

世界的なシェアを誇る CMS ソフトウェア である Drupal に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。