CMS「Drupal」の二要素認証モジュールに認証回避のおそれ

コンテンツマネジメントシステム（CMS）の「Drupal」向けに提供されている二要素認証（2FA）モジュール「Authenticator Login」に深刻な脆弱性が明らかとなった。アップデートが提供されている。

同モジュールは、認証アプリを用いた二要素認証（2FA）を実現するプログラム。開発チームでは現地時間2025年8月13日付けでセキュリティアドバイザリを公開し、脆弱性「CVE-2025-8995」について報告した。

特定の条件下で認証を十分に検証しないため、ユーザー名を把握している任意のアカウントに対し、認証を回避してログインすることが可能。開発チームでは、脆弱性のリスクを5段階中、上から2番目にあたる「Highly critical」と評価している。

攻撃にあたって複数回のリクエストが必要であり、サイトの構成により回数は変化するが、少ないリクエストで攻撃が成立するおそれがあり、デフォルトの構成では5回程度だという。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度をクリティカルとレーティングしている。

開発チームは「同2.1.5」をリリースし、同脆弱性を修正した。

（Security NEXT - 2025/08/18 ）ツイート