Drupal 9.2.x< 9.2.20/ 9.3.x< 9.3.14Drupal の脆弱性 (SA-CORE-2022-010)

high Nessus プラグイン ID 161505

Language:

概要

リモートのWebサーバーで実行されているPHPアプリケーションは、脆弱性の影響を受けます。

説明

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 9.2.20より前の 9.2.x、または 9.3.14より前の 9.3.xです。したがって、脆弱性の影響を受けます。

- Guzzle は、PHP の HTTP クライアントです。バージョン 6.5.6 および 7.4.3 より前の Guzzle には、Cookie ミドルウェアの脆弱性が含まれています。この脆弱性は、Cookie ドメインと Set-Cookie ヘッダーで Cookie を設定するサーバーのドメインが等しいかどうかをチェックしません。これにより、悪意のあるサーバーが無関係なドメインに Cookie を設定する可能性があります。Cookie ミドルウェアはデフォルトで無効になっているため、ほとんどのライブラリコンシューマーはこの問題の影響を受けません。手動で Cookie ミドルウェアをハンドラスタックに追加するか、['cookies' => true] でクライアントを構築した場合のみ、影響を受けます。また、複数のドメインを呼び出すために同じ Guzzle クライアントを使用せず、リダイレクト転送を無効にしている場合は、この脆弱性の影響を受けません。Guzzle バージョン 6.5.6 および 7.4.3 には、この問題に対するパッチが含まれています。回避策として、Cookie ミドルウェアをオフにしてください。(CVE-2022-29248)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ頼っていることに注意してください。