Debian DSA-3291-1：drupal7 - セキュリティ更新

medium Nessus プラグイン ID 84298

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

Web サイト運用に用いるコンテンツ管理プラットフォーム drupal7 に、複数の脆弱性が見つかりました。

- CVE-2015-3231 不適切なキャッシュ処理により、「ユーザー 1」により閲覧されていたプライベートコンテンツが、権限のない別のユーザーに露出されていました。

- CVE-2015-3232 Field UI モジュールの欠陥を利用し、攻撃者はユーザーを悪意あるサイトにリダイレクトすることが可能です。

- CVE-2015-3233 URL 検証が不十分なため、Overlay モジュールの利用により、ユーザーが悪意あるサイトにリダイレクトされる可能性があります。

- CVE-2015-3234 OpenID モジュールにより、攻撃者は管理者を含む別のユーザーとしてログインすることが可能です。

ソリューション

drupal7 パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題はバージョン 7.14-2+deb7u10 で修正されています。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン7.32-1+deb8u4 で修正されています。