機能の完備しているコンテンツ管理フレームワークである Drupal に、次の複数の脆弱性が発見されました：クロスサイトリクエスト偽造、安全でない擬似乱数発生、コード実行、不適切なセキュリティトークンの検証の脆弱性、クロスサイトスクリプティング。

リモートコード実行脆弱性を防ぐには、.htaccess ファイル（または Drupal サイトに役立てるために Apache を使用していない場合は、同等の構成ディレクティブ）を「Files」ディレクトリ（パブリックとプライベートの両方を構成した場合はこの両方）のそれぞれで作成することを、推奨します。

詳細については、この更新とともに提供される NEWS ファイルや、 drupal.org/SA-CORE-2013-003 の Upstream アドバイザリを、参照してください。

- セキュリティ修正のために Upstream 7.24 リリースへ更新

- このリリースの Upstream 変更ログは https://drupal.org/drupal-7.24-release-notes で入手できます。

- SA-CORE-2013-003 - Drupal コア - 複数の脆弱性 - http://drupal.org/SA-CORE-2013-003

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

- セキュリティ修正のために Upstream 6.29 リリースへ更新

- このリリースの Upstream 変更ログは https://drupal.org/drupal-6.29-release-notes で入手できます。

- SA-CORE-2013-003 - Drupal コア - 複数の脆弱性 - http://drupal.org/SA-CORE-2013-003

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

drupal で、複数のセキュリティ問題が特定され、修正されました：

Drupal コアの Image モジュールによって、画像派生物のオンデマンド生成が可能になります。この機能が悪用されて、大量の新しい派生物をリクエストすることでサーバーのディスク容量が一杯になったり、CPU 負荷が非常に高くなったりする可能性があります。これらのいずれかの効果により、サイトが利用可能になったり、応答不能になる場合があります（CVE-2013-0316）。

Drupal のフォーム API は、クロスサイトリクエスト偽造（CSRF）の検証をビルトインしているため、どのモジュールもフォームで自ら検証を行うこともできます。よくある特定の事例で、フォーム検証機能が安全ではない操作を実行する場合があります（CVE-2013-6385）。

Drupal コアは、いくつかのコアモジュールで使用される、セキュリティに関連する文字列を生成するために、mt_rand() 疑似乱数生成器を直接使用していました。
ブルートフォースツールは、特定の状況で、これらの文字列を予測可能なものにするためのシードを見つけ出す可能性があることが判明しました（CVE-2013-6386）。

画像フィールドの説明は、HTML に印字される前に、適切にサニタイズされないため、クロスサイトスクリプティングの脆弱性が顕在化します（CVE-2013-6387）。

Color モジュールで、クロスサイトスクリプティングの脆弱性が見つかりました。悪意のある攻撃者は、認証された管理ユーザーを騙して、特殊な JavaScript を含むページを閲覧させることで、CSS での JavaScript の実行により、折り返し型クロスサイトスクリプティング攻撃を引き起こす可能性があります（CVE-2013-6388）。

Overlay モジュールは、ブラウザウィンドウでページを置き換えるのではなく、（JavaScript を使用している）現ページ上のレイヤーとして管理ページを表示します。Overlay モジュールは、コンテンツを表示する前に URL を十分に検証していなかったため、オープンリダイレクトの脆弱性を引き起こしていました（CVE-2013-6389）。

更新済みパッケージが、これらのセキュリティ欠陥の影響を受けない 7.24 バージョンにアップグレードされています。

更新：

SA-CORE-2013-003 アドバイザリに完全に準拠するために、さらに別の apache ACL の制限が追加されています。

リモート Web サーバーは、7.24 より前のバージョン 7.x の Drupal を実行しています。このため、複数の脆弱性の影響を受ける可能性があります：

- HTML フォーム API、およびサードパーティ製モジュールで使用される検証コールバックに関連して、エラーが存在し、これによって、攻撃者がクロスサイトリクエスト偽造保護をバイパスできることがあります。(CVE-2013-6385)

- 擬似乱数生成に使用される mt_rand() 関数にエラーが存在し、これによって攻撃者が、ブルートフォース攻撃を使用してシードを取得できることがあります。
 (CVE-2013-6386)

- 「image」モジュールに、イメージフィールドの説明パラメーターを通じた持続型クロスサイトスクリプティング攻撃を行う可能性があるユーザー入力検証のエラーが存在します。
 (CVE-2013-6387)

- 「color」モジュールに、詳細不明の入力を通じたクロスサイトスクリプティング攻撃を行う可能性があるユーザー入力検証のエラーが存在します。(CVE-2013-6388)

- 管理者ページおよびオーバーレイに関連するエラーが存在します。これにより、ユーザーが騙されて、任意のリダイレクトを通じて悪意のある Web サイトにリクエストさせられる可能性があります。(CVE-2013-6389)

- アップロードされたファイルの実行から保護しないアプリケーションコードを含む Apache Web サーバーでは、任意の PHP ファイルをアップロードしてそれらを実行させることができます。注：意図される是正措置がアップグレードでありサーバーが Apache サーバーである場合は、手動修正が必要です。（BID 63845）

- drupal_valid_token() 関数にエラーが存在し、それが無効なトークンを検証して、セキュリティバイパスが起こる可能性があります。注：攻撃を成功させるには、攻撃者が文字列でない値を関数に渡すことができる必要があります。（BID 63849）

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
71098	Debian DSA-2804-1：drupal7 - いくつかの脆弱性	Nessus	Debian Local Security Checks	2013/11/27	2021/1/11	medium
71148	Fedora 19：drupal7-7.24-1.fc19（2013-21844）	Nessus	Fedora Local Security Checks	2013/12/2	2021/1/11	medium
71408	Fedora 20：drupal6-6.29-1.fc20（2013-22352）	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	medium
71358	Fedora 19：drupal6-6.29-1.fc19（2013-22507）	Nessus	Fedora Local Security Checks	2013/12/12	2021/1/11	medium
71101	Mandriva Linux セキュリティアドバイザリ：drupal（MDVSA-2013:287-1）	Nessus	Mandriva Local Security Checks	2013/11/27	2021/1/6	medium
71145	Drupal 7.x < 7.24 複数の脆弱性	Nessus	CGI abuses	2013/11/30	2022/4/11	medium
71404	Fedora 20：drupal7-7.24-1.fc20（2013-21956）	Nessus	Fedora Local Security Checks	2013/12/14	2021/1/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium