Drupal 6 シリーズのメンテナンスおよびセキュリティリリース。このリリースは **セキュリティの脆弱性** を修正します。サイトは以下およびセキュリティアナウンスを読んだ後に、[早急なアップグレードが必要] （https://www.drupal.org/node/1494290）[Drupal Core - 重要- 複数の脆弱性 - SA-CORE-2015-003]（https://www.drupal.org/SA-CORE-2015-003）他の修正は含まれていません。このリリースでは、.htaccess、robots.txt またはデフォルトの settings.php には変更は行われていません。そのため、これらのファイルのカスタムバージョンのアップグレードは不要です。#### 既知の問題：
なし。####6.36 以降の主要な変更：* セキュリティ上の理由から、オートコンプリートシステムは非クリーン URL にのみ Ajax リクエストを行うようになりました。ただし、クリーン URL を使用して、同じことを行うカスタムコードにも保護はあります。オートコンプリートが有効化されたテキスフィールドには、新しいフォームの API #process 関数があります。これは、オートコンプリート機能が動作するのに必要なものです。そのため、提供されたカスタムモジュールが、フォームのテキストフィールドを変更する際に、誤ってこの #process 関数をオーバーライドしないようにしなければなりません。セキュリティ修正の一部には、 theme_textfield() に対する変更も含まれています。このテーマ関数をオーバーライドするサイトは、これらの変更も行うことが推奨されます（詳細については、この diff の theme_textfield セクションを参照してください）。* フォーム API トークン検証が失敗する場合（例：クロスサイトリクエスト偽造の試行が検出される、あるいはユーザーがフォームの送信を行わずにログアウトしてから再びログインして戻り、そのフォームの送信を試行する場合など）、現在は、フォーム API がフォーム要素値のコールバック呼び出しをスキップするようになりました。ただし、Drupal コアによって提供される安全と認識された選択リスト内のコールバックは呼び出されます。ごくまれに、これにより、ユーザーがフォームを送信し、トークン検証エラーを受信すると、データの損失が発生することがあります。ただし、全体的な影響は比較的低いと思われます。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

検出

Fedora 21：drupal6-6.37-1.fc21（2015-14442）

high Nessus プラグイン ID 85823

変更ログが見つかりません