Debian DSA-3075-1：drupal7 - セキュリティ更新

medium Nessus プラグイン ID 79362

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

完全な機能を持つコンテンツ管理フレームワークである Drupal で、2 つの脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトでは、次の問題を特定しています：

- CVE-2014-9015 Aaron Averill 氏は、特別に細工されたリクエストが別のユーザーのセッションにユーザーアクセスを与え、これによって攻撃者がランダムセッションをハイジャックできる可能性があることを発見しました。

- CVE-2014-9016 Michael Cullum 氏、Javier Nieto 氏、Andres Rojas Guerrero 氏は、パスワードハッシュ化 API によって、攻撃者が特別に細工されたリクエストを送信し、これによって CPU およびメモリを使い果たす可能性があることを発見しました。これにより、サイトが利用できなくなったり、応答しなくなったり（サービス拒否）する可能性があります。

これらの脆弱性に影響を受けるかどうかを検証するためにも、カスタム構成された session.inc および password.inc を監査する必要があります。詳細については、次の upstream アドバイザリを参照してください