Tenable ブログ
ブログ通知を受信する
重要な Drupal コアの脆弱性: 知っておくべきこと
Drupalは、無料で使える人気の高いオープンソースのコンテンツマネジメントソフトウェアです。3月28日、DrupalセキュリティチームによりCVE-2018-7600のパッチがリリースされました。これは、認証されていないリモートコードを実行するために悪用できる、Drupalコアの脆弱性に対処するためのものです。この 脆弱性は、Drupalのバージョン6、7 および8に影響します。パッチはバージョン7.x、8.3.x、8.4.x、8.5.x向けにリリースされています。バージョン6または8.2.x以前を対象としたパッチのリリースは予定されていません。
影響の評価
Drupalのセキュリティアドバイザリーに、NIST Common Misuse Scoring Systemに基づくリスクスコアが記載されています。このリスクスコアから、さまざまな問題に伴うリスクを客観的に捉えることができます。この脆弱性SA-CORE-2018-002のリスクには、 21/25（極めて重大）のスコアが付与されています(AC:None/A:None/CI:All/II:All/E:Theoretical/TD:Default)。
Tenableでは、この脆弱性は大きな影響を及ぼすと予期しています。この脆弱性は、たった1つのHTTPリクエストだけでターゲットを悪用できるという点で、悪名高いStrutsの脆弱性と似ていますが、Strutsの場合とは異なり、あらゆるDrupalエンドポイントに影響を及ぼすと見られています。攻撃者はページにアクセスするだけでこの脆弱性を悪用することができ、特別な特権レベルは必要ないためです。
この脆弱性と、ターゲットインフラストラクチャの広範囲にわたる展開、不正利用の潜在的容易さを分析した結果を踏まえると、この注目を浴びる脆弱性に対する実際のエクスプロイトはかなりの速さで進化することが見込まれます。24 ～ 48時間以内にパッチを適用しないと、エクスプロイトが兵器化されると予測されています。Twitterはすでに、このトピックに関するツイートで持ちきりです。脆弱性のあるシステムには、直ちにパッチを適用する必要があります。
脆弱性の詳細
問題は、Drupalコアがリクエストのパラメーターを配列オブジェクトとして受け入れる点です。これは機能的には他の多くのフレームワークと何ら変わりはありません。しかし、悪意のあるユーザーがキーノートにペイロードを含めた配列オブジェクトをアプリケーションに渡した場合Drupalはこれをサニタイズせずに処理します。エクスプロイトの試みが成功すると、アプリケーションだけでなく基礎となるオペレーティングシステムのセキュリティさえも侵害される恐れがあります。
至急必要な措置とリソース
Drupalインストールに、直ちにパッチを適用してください。
Tenableでは、脆弱性のあるインストール環境を検出するためのプラグイン 108688、108695、108698および109041 をリリースしました。
Tenable はまた、プラグインをアップデートし、89684 パッチを受信しないシステムを特定できるようにしました。Tenable.io Container Securityは、影響を受けるすべてのバージョンを検出します。また、自動スキャンの際は、既存のコンテナー内のすべてのDrupalインストールが検出されます。
詳細情報
- Drupalコアセキュリティアドバイザリ：https://www.drupal.org/sa-core-2018-002
- 最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、 Tenable.ioの詳細情報
- 今すぐTenable.io Vulnerability Managementの60日間無料トライアルをお試しください！
関連記事
Do You Think You Have No AI Exposures? Think Again
August 6, 2024As AI usage becomes more prevalent in organizations globally, security teams must get full visibility into these applications. Building a comprehensive inventory of AI applications in your environment is a first step. Read on to learn what we found about AI application-usage in the real world when we analyzed anonymized telemetry data from scans using Tenable’s products.
Never Trust User Inputs -- And AI Isn't an Exception: A Security-First Approach
August 6, 2024As AI transforms industries, security remains critical. Discover the importance of a security-first approach in AI development, the risks of open-source tools, and how Tenable's solutions can help protect your systems.
Securing Financial Data in the Cloud: How Tenable Can Help
November 4, 2024Preventing data loss, complying with regulations, automating workflows and managing access are four key challenges facing financial institutions. Learn how Tenable can help.
Cybersecurity Snapshot: Apply Zero Trust to Critical Infrastructure’s OT/ICS, CSA Advises, as Five Eyes Spotlight Tech Startups’ Security
November 1, 2024Should critical infrastructure orgs boost OT/ICS systems’ security with zero trust? Absolutely, the CSA says. Meanwhile, the Five Eyes countries offer cyber advice to tech startups. Plus, a survey finds “shadow AI” weakening data governance. And get the latest on MFA methods, CISO trends and Uncle Sam’s AI strategy.
FY 2024 State and Local Cybersecurity Grant Program Adds CISA KEV as a Performance Measure
October 31, 2024The CISA Known Exploited Vulnerabilities (KEV) catalog and enhanced logging guidelines are among the new measurement tools added for the 2024 State and Local Cybersecurity Grant Program.
- Plugins