自己報告されたバージョンによると、リモートのWebサーバーで実行されているDrupalのインスタンスは、7.96より前の7.x、9.4.14より前の9.4.x、9.5.8より前の9.5.x、または10.0.8より前の10.xです。したがって、脆弱性の影響を受けます。

  - ファイルダウンロード機能が、特定の状況でのファイルパスのサニタイズが十分ではありません。これにより、ユーザーがアクセスすべきでないプライベートファイルにアクセスする可能性があります。一部のサイトでは、このセキュリティリリース後に構成の変更が必要になる場合があります。更新後にプライベートファイルへのアクセスに問題がある場合は、Drupal バージョンのリリースノートを確認してください。このアドバイザリは Drupal Steward の対象です。
    この脆弱性は大規模に悪用できないため、Steward パートナーは、新しい WAF ルールを強制するのではなく、監視のみで対応する可能性があります。通常、この重要度のリリースには適用されません。ただし、この場合、プロセスをテストするために Drupal Steward セキュリティカバレッジを適用することを選択しました。Drupal 7 Windows Web サーバー上のすべての Drupal 7 サイトが脆弱です。Linux ウェブサーバーの Drupal 7 サイトは、特定のファイルディレクトリ構造であるか、脆弱なコントリビュートまたはカスタムのファイルアクセスモジュールがインストールされている場合に脆弱です。Drupal 9 および 10 の Drupal 9 および 10 サイトは、特定のコントリビュートまたはカスタムのファイルアクセスモジュールがインストールされている場合にのみ脆弱です。(SA-CORE-2023-005)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Drupal 7.x< 7.96/ 9.4.x< 9.4.14/ 9.5.x< 9.5.8/ 10.x< 10.0.8Drupalの脆弱性 (SA-CORE-2023-005)

high Nessus プラグイン ID 174488

バージョン 1.2

バージョン 1.1

バージョン 1.0

バージョン 1.2 May 2, 2023, 7:59 AM IAVM reference Plugin Feed: 202305020759
バージョン 1.1 Apr 21, 2023, 4:06 PM STIG Severity (set to "I") IAVM reference Plugin Feed: 202304211606
バージョン 1.0 Apr 20, 2023, 6:07 AM New Plugin Feed: 202304200607