Debian DSA-3346-1：drupal7 - セキュリティ更新

high Nessus プラグイン ID 85726

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

コンテンツ管理フレームワークの Drupal に、いくつかの脆弱性が発見されました：

- CVE-2015-6658 フォーム自動入力機能がリクエストされた URL を適切にサニタイズしませんでした。これにより、リモートの攻撃者がクロスサイトスクリプティング攻撃を実行する可能性があります。

- CVE-2015-6659 SQL コメントフィルタリングシステムにより、昇格した権限を持つユーザーが、悪意あるコードを SQL コメントに注入する可能性があります。

- CVE-2015-6660 フォーム API が早期にフォームトークン検証を実行しませんでした。これにより、信頼できない入力でファイルアップロードコールバックが実行される可能性があります。これにより、リモートの攻撃者が、他のユーザーのアカウントでサイトにファイルをアップロードする可能性があります。

- CVE-2015-6661 「access content」権限のないユーザーがアクセス権を持つサイトのメニューに、ユーザーがアクセス権を持たないノードが追加された場合、ユーザーがそのノードのタイトルを閲覧する可能性があります。

- CVE-2015-6665 リモートの攻撃者が、ホワイトリストに登録された HTML 要素上で Drupal.ajax() を呼び出すことで、クロスサイトスクリプティング攻撃を実行する可能性があります。

ソリューション

drupal7 パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション (wheezy) では、これらの問題はバージョン 7.14-2+deb7u11 で修正されています。

安定版（stable）ディストリビューション（jessie）では、これらの問題はバージョン7.32-1+deb8u5 で修正されています。