Drupal 7.0.x <7.67/8.6.x <8.6.16/8.7.x <8.7.1 Drupalの脆弱性（SA-CORE-2019-007）

critical Nessus プラグイン ID 124698

Language:

概要

リモートWebサーバーで実行しているPHPアプリケーションは、パストラバーサルの脆弱性の影響を受けます。

説明

自己報告されたバージョンによると、リモートのWebサーバーで実行されているDrupalのインスタンスは7.67より前の7.0.x、8.6.16より前の8.7.x、8.7.1より前の8.7.xです。したがって、パストラバーサルの脆弱性の影響を受けます。このセキュリティリリースでは、Drupalコアに含まれる、またはDrupalコアで必要なサードパーティの依存関係を修正しています。TYPO3-PSA-2019-007に記載されているとおり：Phar Stream Wrapper Interceptorのバイパス保護：侵害されたPharアーカイブのfile_existsやstatのようなファイル呼び出しを傍受するためには、PHP Pharストリーム処理によって処理されることを許可する前にベース名が決定されチェックされる必要があります。現在の実装はパストラバーサルに対して脆弱であり、評価対象のPharアーカイブが実際の（侵害された）ファイルではない状況が引き起こされます。（SA-CORE-2019-007）Nessusはこの問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。