Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 7.387.x より前の Drupal の Overlay モジュールにおけるオープンリダイレクトの脆弱性により、リモートの攻撃者が、ユーザーを任意の Web サイトにリダイレクトしたり、詳細不明なベクトルからフィッシング攻撃を実行したりする可能性があります。
    (CVE-2015-3233)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Drupal 開発チーム報告 : なりすまし（OpenID モジュール - Drupal 6 および 7 - 重要度高）OpenID モジュールに脆弱性が見つかりました。その脆弱性により、悪意のあるユーザーが管理者を含むサイト上の別のユーザーとしてログインし、アカウントをハイジャックする可能性があります。

特定の OpenID プロバイダーセットからの関連づけられた OpenID アイデンティティーが含まれるアカウントを所有していなければ被害者とはならないため、脆弱性は緩和されています（OpenID プロバイダーは Verisign、LiveJournal、あるいは StackExchange を含みますが、その限りではありません）。オープンリダイレクト（Field UI モジュール - Drupal 7 - 重大性低）Field UI モジュールは URL 内の「destinations」クエリ文字列パラメーターを使用し、いくつかの管理ページのアクションを終了した後、ユーザーを新しいデスティネーションにリダイレクトします。特定の状況下では、悪意のあるユーザーがこのパラメーターを使用して URL を構築し、それによって他のユーザーをサードパーティの Web サイトにリダイレクトし、ソーシャルエンジニアリング攻撃に晒す可能性があります。

Field UI モジュールを有効にしているサイトのみが影響されるため、脆弱性は緩和されています。

Drupal 6 core は影響を受けませんが、Drupal 6 を使用した CCK モジュールに関しては同様のアドバイザリを参照してください：SA-CONTRIB-2015-126 オープンリダイレクト（オーバーレイモジュール - Drupal 7 - 重大性低）オーバーレイモジュールはブラウザのウィンドウを置きかえるのではなく、（JavaScript を使用して）現在のページ上のレイヤーとして管理ページを表示します。Overlay モジュールが、コンテンツの表示前に URL を十分に検証せず、これはオープンリダイレクトの脆弱性につながります。

この脆弱性は、「管理者オーバーレイのアクセス」権限を持つサイトのユーザーに対してのみ使用でき、オーバーレイモジュールが有効化される必要があるから、緩和されています。情報漏洩（キャッシュシステムのレンダリング - Drupal 7 - 重大性低）Drupal 7 レンダーキャッシュシステムを使用しているサイトでは、ユーザーの役割ごとにキャッシュシステムをレンダンリングし、コンテンツをキャッシュします。ユーザー１が閲覧したプライベートコンテンツがキャッシュに格納され、権限のないユーザーに対して閲覧可能になる可能性があります。

キャッシュレンダリングは Drupal 7 core 自体では使用されていません。（カスタムコードあるいは外付けのキャッシュレンダリングモジュールの有効化が必要です。）したがって、ユーザー１がライブ閲覧しているサイトのみに影響するため、脆弱性は緩和されています。管理者の役割がユーザー１のアカウントに付与されている場合は、露出はさらに制限されます（これは、例えば Drupal core に付属している Standard インストールプロファイルによって設定できます）。

- リリース 7.38 はセキュリティ修正リリースです。

- Upstream リリースノート：
https://www.drupal.org/drupal-7.38-release-notes

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Web サーバーは、7.38 より前のバージョン 7.x の Drupal を実行しています。このため、以下の脆弱性の影響を受ける可能性があります。

- Field UI モジュールの「destinations」パラメーターへのユーザー指定の入力が不適切に検証されているため、オープンリダイレクトの脆弱性が存在します。リモートの攻撃者が、特別に細工された URL でこの問題を悪用して、ユーザーをサードパーティの Web サイトにリダイレクトする可能性があります。(CVE-2015-3231)

- 管理ページの Overlay モジュールでコンテンツを表示する前に URL が不適切に検証されているため、オープンリダイレクトの脆弱性が存在します。
 (CVE-2015-3232)

- レンダーキャッシュシステムの欠陥により、情報漏洩の脆弱性が存在します。攻撃者が、この欠陥を悪用して、任意ユーザーのプライベートなコンテンツを閲覧する可能性があります。
 (CVE-2015-3233)

- OpenID モジュールの欠陥により、セキュリティバイパスの脆弱性が存在します。リモートの攻撃者はこの欠陥を悪用して、管理者などの他のユーザーとしてログインできます。
 注意：犠牲者は、Verisign、LiveJournal、または StackExchange などの一連の特定 OpenID プロバイダー提供の既存 OpenID アカウントを所有しているはずです。(CVE-2015-3234)

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

Web サイト運用に用いるコンテンツ管理プラットフォーム drupal7 に、複数の脆弱性が見つかりました。

- CVE-2015-3231 不適切なキャッシュ処理により、「ユーザー 1」により閲覧されていたプライベートコンテンツが、権限のない別のユーザーに露出されていました。

- CVE-2015-3232 Field UI モジュールの欠陥を利用し、攻撃者はユーザーを悪意あるサイトにリダイレクトすることが可能です。

- CVE-2015-3233 URL 検証が不十分なため、Overlay モジュールの利用により、ユーザーが悪意あるサイトにリダイレクトされる可能性があります。

- CVE-2015-3234 OpenID モジュールにより、攻撃者は管理者を含む別のユーザーとしてログインすることが可能です。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
243730	Linux Distros のパッチ未適用の脆弱性: CVE-2015-3233	Nessus	Misc.	2025/8/5	2025/8/5	medium
84282	FreeBSD：drupal -- 複数の脆弱性（d605edb1-1616-11e5-a000-d050996490d0）	Nessus	FreeBSD Local Security Checks	2015/6/19	2021/1/6	medium
84513	Fedora 21：drupal7-7.38-1.fc21（2015-10189）	Nessus	Fedora Local Security Checks	2015/7/6	2021/1/11	medium
84514	Fedora 22：drupal7-7.38-1.fc22（2015-10290）	Nessus	Fedora Local Security Checks	2015/7/6	2021/1/11	medium
84292	Drupal 7.x < 7.38 複数の脆弱性	Nessus	CGI abuses	2015/6/19	2022/4/11	medium
84298	Debian DSA-3291-1：drupal7 - セキュリティ更新	Nessus	Debian Local Security Checks	2015/6/22	2021/1/11	medium

検出

プラグインの検索

medium

medium

medium

medium

medium

medium