Drupal 7.x< 7.96/ 9.4.x< 9.4.14/ 9.5.x< 9.5.8/ 10.x< 10.0.8Drupalの脆弱性 (SA-CORE-2023-005)

high Nessus プラグイン ID 174488

Language:

概要

リモートの Web サーバーで実行されている PHP アプリケーションは、脆弱性の影響を受けます。

説明

自己報告されたバージョンによると、リモートのWebサーバーで実行されているDrupalのインスタンスは、7.96より前の7.x、9.4.14より前の9.4.x、9.5.8より前の9.5.x、または10.0.8より前の10.xです。したがって、脆弱性の影響を受けます。

- ファイルダウンロード機能が、特定の状況でのファイルパスのサニタイズが十分ではありません。これにより、ユーザーがアクセスすべきでないプライベートファイルにアクセスする可能性があります。一部のサイトでは、このセキュリティリリース後に構成の変更が必要になる場合があります。更新後にプライベートファイルへのアクセスに問題がある場合は、Drupal バージョンのリリースノートを確認してください。このアドバイザリは Drupal Steward の対象です。
この脆弱性は大規模に悪用できないため、Steward パートナーは、新しい WAF ルールを強制するのではなく、監視のみで対応する可能性があります。通常、この重要度のリリースには適用されません。ただし、この場合、プロセスをテストするために Drupal Steward セキュリティカバレッジを適用することを選択しました。Drupal 7 Windows Web サーバー上のすべての Drupal 7 サイトが脆弱です。Linux ウェブサーバーの Drupal 7 サイトは、特定のファイルディレクトリ構造であるか、脆弱なコントリビュートまたはカスタムのファイルアクセスモジュールがインストールされている場合に脆弱です。Drupal 9 および 10 の Drupal 9 および 10 サイトは、特定のコントリビュートまたはカスタムのファイルアクセスモジュールがインストールされている場合にのみ脆弱です。(SA-CORE-2023-005)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。