Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Drupal」のRESTモジュールに深刻な脆弱性 - 影響考慮し非サポート版向けにも更新

コンテンツマネジメントシステム(CMS)の「Drupal」に深刻な脆弱性が含まれていることがわかった。開発チームでは脆弱性の影響を踏まえ、非サポートバージョンに対してもアップデートを用意したという。

「RESTful Web Services(REST)モジュール」を利用し、特定の条件下でアクセス制御がバイパスされる脆弱性「CVE-2017-6919」が明らかとなったもの。重要度は、5段階中2番目にあたる「クリティカル(Critical)」。

同モジュールを有効化しており、さらに「PATCH」によるリクエストを許可、くわえて攻撃者がユーザーアカウントを利用できる場合に脆弱性を悪用されるおそれがある。

「同8.3.0」「同8.2.7」、および以前のバージョンが影響を受ける。ただし、「Drupal 7.x」に関しては影響を受けないとしている。

開発チームでは、脆弱性を修正した「同8.3.1」をリリース。さらに本来はサポート外である「8.2.x」に対しても影響の大きさを考慮し、「同8.2.8」をリリースしている。

(Security NEXT - 2017/04/20 ) このエントリーをはてなブックマークに追加

PR

関連記事

ID管理製品「Atlassian Crowd」に深刻な脆弱性
国内で約8000台の「FortiOS」管理者ログイン画面が丸見え - 標的となるおそれ
Fortinet製品の悪用済み脆弱性 - PoC公開でさらにリスク上昇
「Apache Geode」にRCE脆弱性、最新版へアップデートを
F5、8月のセキュリティパッチを公開 - 「BIG-IP」などの脆弱性に対処
Oracle、のべ349件の脆弱性に対応 - CVSS基本値「9以上」65件
2022年における危険な脆弱性タイプのトップ25が明らかに
会議室用ウェブカメラに脆弱性、詳細も公開 - 米政府は悪用脆弱性リストに追加
F5製「BIG-IP」脆弱性、悪用容易 - 侵害有無の確認を
「BIG-IP」脆弱性に注意 - 実証コード公開済み、探索や悪用も