リモート Web サーバーが Drupal のバージョンを実行しているため、Drupal データベース抽象化 API の欠陥のために、SQL インジェクションの脆弱性の影響を受け、リモートの攻撃者が特別に細工されたリクエストを使用して、任意の SQL を実行する可能性があります。これは、権限昇格、任意の PHP の実行、またはリモートコードの実行を引き起こす可能性があります。

リモート Web サーバーで実行されている Drupal のバージョンが、unserialize() 関数に対するユーザー指定の入力が不適切に検証されているため、Coder モジュールにあるリモートコードの実行の脆弱性の影響を受けます。具体的には、coder_upgrade.run.php ファイルにこの脆弱性はあります。認証されていないリモートの攻撃者が、これを悪用して、特別に細工されたリクエストを通じて、任意の PHP コードを実行する可能性があります。

Drupal セキュリティチームによる報告：

Drupal 7 には、データベースに対して実行されるクエリを確実にサニタイズして SQL インジェクション攻撃を防ぐために、データベース抽象化 API が含まれています。この API における脆弱性により、攻撃者が特別に細工されたリクエストを送信して、任意の SQL の実行を引き起こす可能性があります。
リクエストの内容によっては、これが権限昇格、任意の PHP の実行、その他の攻撃につながる可能性があります。この脆弱性が、匿名ユーザーによって悪用される可能性があります。

SA-CORE-2014-005、CVE-2014-3704 用の上流 7.32 セキュリティリリースに更新

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Web サーバーは、7.32 より前のバージョン 7.x の Drupal を実行しています。このため、Drupal データベース抽象化 API の欠陥による、SQL インジェクションの脆弱性の影響を受けることにより、リモートの攻撃者が、特別に細工されたリクエストを使用して、任意の SQL を実行する可能性があります。これは、権限昇格、任意の PHP の実行、またはリモートコードの実行を引き起こす可能性があります。

Nessus は、この問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

更新 drupal パッケージは、セキュリティの脆弱性を修正します。

情報漏洩の脆弱性が、7.27 より前の Drupal で見つかりました。匿名ユーザーに対してページがキャッシュされると、匿名ユーザーの間でフォーム状態が漏洩される場合があります。ある匿名ユーザー用に記録された機密情報やプライベート情報が、同時に同じフォームでやりとりしているその他のユーザーに漏洩される可能性があります（CVE-2014-2983）。

サービス拒否の問題、ファイルモジュールでのアクセスバイパスの問題、複数のクロスサイトスクリプティングの問題を含む、7.29 より前の Drupal での複数のセキュリティの問題（CVE-2014-5019、CVE-2014-5020、CVE-2014-5021、CVE-2014-5022）。

一般にアクセス可能な XML-RPC エンドポイントでの XML エンティティの拡張により、7.31 より前の Drupal にサービス拒否の問題が存在します。

Drupal コアが準備されたステートメントを処理する方法により、7.32 より前の Drupal に SQL インジェクションの問題が存在します。悪意のあるユーザーが、任意の SQL クエリを注入し、Drupal サイトを完全にコントロールする可能性があります。
この脆弱性が、認証を必要とせずに、リモートの攻撃者によって悪用される可能性があります（CVE-2014-3704）。

Aaron Averill 氏は、特別に細工されたリクエストが別のユーザーのセッションにユーザーアクセスを与え、これによって攻撃者がランダムセッションをハイジャックできる可能性があることを見つけました（CVE-2014-9015）。

Michael Cullum 氏、Javier Nieto 氏、Andres Rojas Guerrero 氏は、パスワードハッシュ化 API によって、攻撃者が特別に細工されたリクエストを送信し、これによって CPU およびメモリを使い果たす可能性があることを見つけました。これによって、サイトが利用できなくなったり、応答しなくなったり（サービス拒否）する可能性があります（CVE-2014-9016）。匿名ユーザー（CVE-2014-9016）。

パスワードリセットの URL が特定の状況で偽装され、これによって攻撃者が、アカウントのパスワードを知らなくても、別のユーザーのアカウントへアクセスできるようになる可能性があります（CVE-2015-2559）。

特定の状況で、悪意のあるユーザーが URL を構築し、それによって他のユーザーをサードパーティの Web サイトにリダイレクトし、ソーシャルエンジニアリング攻撃に晒す可能性があります。さらに、Drupal 6 および 7 のいくつかの URL 関連の API 関数が意図していないときに外部 URL を通過するように騙されて、さらなるオープンリダイレクトの脆弱性につながる可能性があります（CVE-2015-2749、CVE-2015-2750）。

drupal パッケージがバージョン 7.35 に更新され、この問題およびその他のバグが修正されています。詳細は、upstream アドバイザリおよびリリースノートを参照してください。

Stefan Horst 氏は、SQL インジェクションにつながる可能性のある、Drupal データベース抽象化 API の脆弱性を発見しました。

SA-CORE-2014-005、CVE-2014-3407 用の上流 7.32 セキュリティリリースに更新

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
98220	Drupal データベース抽象化 API SQLi	Web App Scanning	Component Vulnerability	2018/6/19	2021/9/7	critical
98221	Drupal Coder モジュールにおける逆シリアル化の RCE	Web App Scanning	Component Vulnerability	2018/6/20	2021/9/7	critical
78521	FreeBSD：drupal7 -- SQL インジェクション（6f825fa4-5560-11e4-a4c3-00a0986f28c4）	Nessus	FreeBSD Local Security Checks	2014/10/17	2021/1/6	high
78795	Fedora 21：drupal7-7.32-1.fc21（2014-12934）	Nessus	Fedora Local Security Checks	2014/11/3	2021/1/11	high
78511	7.32 より前の Drupal 7.x の SQLi	Nessus	CGI abuses	2014/10/16	2022/4/11	high
78515	Drupal データベース抽象化 API SQLi	Nessus	CGI abuses	2014/10/16	2022/4/11	high
82456	Mandriva Linux セキュリティアドバイザリ：drupal（MDVSA-2015:181）	Nessus	Mandriva Local Security Checks	2015/3/31	2021/1/14	high
78518	Debian DSA-3051-1：drupal7 - セキュリティ更新	Nessus	Debian Local Security Checks	2014/10/17	2021/1/11	high
78707	Fedora 20：drupal7-7.32-1.fc20（2014-13030）	Nessus	Fedora Local Security Checks	2014/10/29	2021/1/11	high
78710	Fedora 19：drupal7-7.32-1.fc19（2014-13053）	Nessus	Fedora Local Security Checks	2014/10/29	2021/1/11	high

検出

プラグインの検索

critical

critical

high

high

high

high

high

high

high

high