Fedora 36: drupal7 (2022-9d655503ea)

high Nessus プラグイン ID 169174

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 36 ホストには、FEDORA-2022-9d655503ea のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- 1.10.0より前 jQuery UI の Dialog ウィジェットの jquery.ui.dialog.js のクロスサイトスクリプティング (XSS) の脆弱性により、リモート攻撃者が、タイトルオプションを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。
(CVE-2010-5312)

- 1.12.0より前の jQuery UI のクロスサイトスクリプティング (XSS) の脆弱性により、リモート攻撃者が、ダイアログ機能の closeText パラメーターを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。(CVE-2016-7103)

- jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「altField」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。「altField」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「altField」オプションの値を受け入れないことです。
(CVE-2021-41182)

- jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「*Text」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。さまざまな「* Text」オプションに渡される値が、HTML ではなく常に純粋なテキストとして処理されるようになりました。回避策は、信頼できないソースからの「*Text」オプションの値を受け入れないことです。(CVE-2021-41183)

- jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0 以前では、信頼されていないソースから「.position()」util の「of」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。「of」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「of」オプションの値を受け入れないことです。(CVE-2021-41184)

- Drupal コアのフォーム API に脆弱性があり、特定のコントリビュートまたはカスタムモジュールのフォームが不適切な入力検証に対して脆弱である可能性があります。これにより、攻撃者が許可されていない値を注入したり、データを上書きしたりする可能性があります。影響を受けるフォームは一般的ではありませんが、特定の場合では、攻撃者が重要なデータや機密データを変更する可能性があります。(CVE-2022-25271)

- 画像モジュールが、画像スタイルシステムを使用して派生画像を生成する際に、標準の公開ファイルディレクトリに保存されていない画像ファイルへのアクセスを正しくチェックしない場合があります。非公開ファイルへのアクセスは、それがプライベートファイルシステムに保存されている場合にのみチェックされます。ただし、一部の提供されたモジュールは、追加のファイルシステムまたはスキームを提供するため、この脆弱性につながる可能性があります。この脆弱性は、サイトが (Drupal 9) $config['image.settings'] ['allow_insecure_rivatives'] または (Drupal 7) $conf['image_allow_insecure_rivatives'] を TRUE に設定した場合にのみ適用されるという事実によって緩和されます。推奨されるデフォルト設定は FALSE であり、Drupal コアは管理 UI でこれを変更する方法を提供しません。一部のサイトでは、このセキュリティリリース後に構成の変更が必要になる場合があります。更新後にファイルまたはイメージスタイルへのアクセスに問題がある場合は、Drupal バージョンのリリースノートを確認してください。(CVE-2022-25275)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。