Drupal において RESTful Web Services モジュールのシリアル化解除処理の不備を悪用して遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2019.05.25(土)

Drupal において RESTful Web Services モジュールのシリアル化解除処理の不備を悪用して遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report)

世界的に利用されている CMS である Drupal に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
Drupal.org
Drupal.org 全 1 枚 拡大写真
◆概要

世界的に利用されている CMS である Drupal に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。脆弱性を悪用されてしまった場合、
Web サーバを起動している権限でホストの制御を奪われてしまう可能性があります。ソフトウェアのアップデートなどにより対策してください。

◆分析者コメント

2018 年に話題となった Drupalgeddon 2 (CVE-2018-7600) 、Drupalgeddon 3 (CVE-2018-7602) とは異なり、RESTful Web Services モジュールの有効化が
必要となる脆弱性であるため、バージョン以外の前提条件が必要となる脆弱性です。Drupal を用いた Web サーバを運用している場合は、当該モジュールの使用状況を確認し、アップデートにより早急に対策してください。

◆深刻度(CVSS)

[CVSS v3]
8.1
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2019-6340&vector=AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

[CVSS v2]
6.8
https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?name=CVE-2019-6340&vector=(AV:N/AC:M/Au:N/C:P/I:P/A:P)

◆影響を受けるソフトウェア

以下のバージョンの Drupal が当該脆弱性の影響を受けます。

  - Drupal 8.5.x 系: 8.5.11 未満
  - Drupal 8.6.x 系: 8.6.10 未満

以上に記載のバージョン以外であっても、サポートが切れている Drupal でも
当該脆弱性の影響を受ける可能性が高いため、アップデートにより対策してく
ださい。

◆解説

世界的に利用されている CMS である Drupal に、データのシリアル化解除処理の不備を悪用して、遠隔から任意のコードの実行が可能となる脆弱性が報告
されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

この記事の写真

/
PageTop

特集

アクセスランキング

  1. MBSD国分裕の「脆弱性診断士育成」カリスマ授業

    MBSD国分裕の「脆弱性診断士育成」カリスマ授業

  2. 「アンとケイト」に不正アクセス、登録情報が流出の可能性(マーケティングアプリケーションズ)

    「アンとケイト」に不正アクセス、登録情報が流出の可能性(マーケティングアプリケーションズ)

  3. NTTデータ先端技術サイバーセキュリティインテリジェンスセンター設立目論見

    NTTデータ先端技術サイバーセキュリティインテリジェンスセンター設立目論見

  4. 一田和樹 サイバーブックレーダー「サイバー完全兵器」デービッド・サンガー著

    一田和樹 サイバーブックレーダー「サイバー完全兵器」デービッド・サンガー著

  5. 不正アクセスにより医師の氏名を騙るなりすましメールを送信(東京都保健医療公社 多摩北部医療センター)

    不正アクセスにより医師の氏名を騙るなりすましメールを送信(東京都保健医療公社 多摩北部医療センター)

  6. ファイルサーバがランサムウェア感染、一部は所外流出可能性も(権田総合法律事務所)

    ファイルサーバがランサムウェア感染、一部は所外流出可能性も(権田総合法律事務所)

  7. 顧客データ人質にされた独大手 SI 企業の攻防、攻撃者が本誌に語った言い分(The Register)

    顧客データ人質にされた独大手 SI 企業の攻防、攻撃者が本誌に語った言い分(The Register)

  8. 一次通過経験ゼロ、知人にすら読んでもらえないレベルの素人がサイバーセキュリティ小説コンテスト大賞受賞に至った経緯とは

    一次通過経験ゼロ、知人にすら読んでもらえないレベルの素人がサイバーセキュリティ小説コンテスト大賞受賞に至った経緯とは

  9. 国外から不正アクセス 個人情報削除、パスワードハッシュ化済も万全期し全件変更(愛媛CATV)

    国外から不正アクセス 個人情報削除、パスワードハッシュ化済も万全期し全件変更(愛媛CATV)

  10. もみじまんじゅうの販売サイトに不正アクセス、カード情報が流出の可能性(藤い屋)

    もみじまんじゅうの販売サイトに不正アクセス、カード情報が流出の可能性(藤い屋)

ランキングをもっと見る