Drupal 6 シリーズのメンテナンスおよびセキュリティリリース。このリリースは **セキュリティの脆弱性** を修正します。サイトは以下およびセキュリティアナウンスを読んだ後に、[早急なアップグレードが必要] （https://www.drupal.org/node/1494290）[Drupal Core - 重要- 複数の脆弱性 - SA-CORE-2015-003]（https://www.drupal.org/SA-CORE-2015-003）他の修正は含まれていません。このリリースでは、.htaccess、robots.txt またはデフォルトの settings.php には変更は行われていません。そのため、これらのファイルのカスタムバージョンのアップグレードは不要です。#### 既知の問題：
なし。####6.36 以降の主要な変更：* セキュリティ上の理由から、オートコンプリートシステムは非クリーン URL にのみ Ajax リクエストを行うようになりました。ただし、クリーン URL を使用して、同じことを行うカスタムコードにも保護はあります。オートコンプリートが有効化されたテキスフィールドには、新しいフォームの API #process 関数があります。これは、オートコンプリート機能が動作するのに必要なものです。そのため、提供されたカスタムモジュールが、フォームのテキストフィールドを変更する際に、誤ってこの #process 関数をオーバーライドしないようにしなければなりません。セキュリティ修正の一部には、 theme_textfield() に対する変更も含まれています。このテーマ関数をオーバーライドするサイトは、これらの変更も行うことが推奨されます（詳細については、この diff の theme_textfield セクションを参照してください）。* フォーム API トークン検証が失敗する場合（例：クロスサイトリクエスト偽造の試行が検出される、あるいはユーザーがフォームの送信を行わずにログアウトしてから再びログインして戻り、そのフォームの送信を試行する場合など）、現在は、フォーム API がフォーム要素値のコールバック呼び出しをスキップするようになりました。ただし、Drupal コアによって提供される安全と認識された選択リスト内のコールバックは呼び出されます。ごくまれに、これにより、ユーザーがフォームを送信し、トークン検証エラーを受信すると、データの損失が発生することがあります。ただし、全体的な影響は比較的低いと思われます。

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

7.39 に更新しました * [リリースノート]（https://www.drupal.org/drupal-7.39-release- notes） * [Drupal コア - 重大性高 - 複数の脆弱性 - SA- CORE-2015-003]（https://www.drupal.org/SA-CORE-2015-003）

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

リモート Web サーバーは、7.39 より前のバージョン 7.x の Drupal を実行しています。このため、以下の脆弱性の影響を受ける可能性があります。

- リクエストされた URL 経由で渡される入力の不適切な検証のため、オートコンプリート機能にクロスサイトスクリプティングの脆弱性が存在します。認証されたリモートの攻撃者が、特別に細工されたリクエストを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。
 (CVE-2015-6658)

- ユーザー指定入力を SQL クエリで使用する前のサニタイズが不適切なために、SQL コメントフィルタリングシステムに SQL インジェクションの脆弱性が存在します。認証されたリモートの攻撃者がこれを悪用して、SQL クエリを注入し、任意のデータを操作したり漏洩させたりする可能性があります。(CVE-2015-6659)

- フォームトークンのの検証が適切でないため、フォーム API にクロスサイトリクエスト偽造の脆弱性が存在します。認証されたリモートの攻撃者が特別に細工されたリンクを介してこれを悪用し、別のユーザーのアカウントで任意のコードをアップロードする可能性があります。(CVE-2015-6660)

- 認証されたリモートのユーザーが、アクセスできないノードのタイトルを表示できる情報漏洩の脆弱性が存在します。
 (CVE-2015-6661)

- ホワイトリストにある HTML エレメントで Drupal.ajax() を呼び出す際に、ユーザー指定入力の検証が不適切なために、クロスサイトスクリプティングの脆弱性が存在します。リモートの攻撃者が、特別に細工されたリクエストを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。
 (CVE-2015-6665)

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

コンテンツ管理フレームワークの Drupal に、いくつかの脆弱性が発見されました：

- CVE-2015-6658 フォーム自動入力機能がリクエストされた URL を適切にサニタイズしませんでした。これにより、リモートの攻撃者がクロスサイトスクリプティング攻撃を実行する可能性があります。

- CVE-2015-6659 SQL コメントフィルタリングシステムにより、昇格した権限を持つユーザーが、悪意あるコードを SQL コメントに注入する可能性があります。

- CVE-2015-6660 フォーム API が早期にフォームトークン検証を実行しませんでした。これにより、信頼できない入力でファイルアップロードコールバックが実行される可能性があります。これにより、リモートの攻撃者が、他のユーザーのアカウントでサイトにファイルをアップロードする可能性があります。

- CVE-2015-6661 「access content」権限のないユーザーがアクセス権を持つサイトのメニューに、ユーザーがアクセス権を持たないノードが追加された場合、ユーザーがそのノードのタイトルを閲覧する可能性があります。

- CVE-2015-6665 リモートの攻撃者が、ホワイトリストに登録された HTML 要素上で Drupal.ajax() を呼び出すことで、クロスサイトスクリプティング攻撃を実行する可能性があります。

リモート Web サーバーは、6.37 より前のバージョン 6.x の Drupal を実行しています。このため、以下の脆弱性の影響を受ける可能性があります。

- リクエストされた URL 経由で渡される入力の不適切な検証のため、オートコンプリート機能にクロスサイトスクリプティングの脆弱性が存在します。認証されたリモートの攻撃者が、特別に細工されたリクエストを介してこれを悪用し、任意のスクリプトコードを実行する可能性があります。
 (CVE-2015-6658)

- フォームトークンのの検証が適切でないため、フォーム API にクロスサイトリクエスト偽造の脆弱性が存在します。認証されたリモートの攻撃者が特別に細工されたリンクを介してこれを悪用し、別のユーザーのアカウントで任意のコードをアップロードする可能性があります。(CVE-2015-6660)

- 認証されたリモートのユーザーが、アクセスできないノードのタイトルを表示できる情報漏洩の脆弱性が存在します。
 (CVE-2015-6661)

Nessus は、この問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
85825	Fedora 22：drupal6-6.37-1.fc22（2015-14444）	Nessus	Fedora Local Security Checks	2015/9/8	2021/1/11	high
85674	Fedora 23：drupal7-7.39-1.fc23（2015-13915）	Nessus	Fedora Local Security Checks	2015/8/28	2021/1/11	high
85824	Fedora 23：drupal6-6.37-1.fc23（2015-14443）	Nessus	Fedora Local Security Checks	2015/9/8	2021/1/11	high
85653	Drupal 7.x < 7.39 複数の脆弱性	Nessus	CGI abuses	2015/8/26	2022/4/11	high
85726	Debian DSA-3346-1：drupal7 - セキュリティ更新	Nessus	Debian Local Security Checks	2015/9/2	2021/1/11	high
85815	Fedora 21：drupal7-7.39-1.fc21（2015-13917）	Nessus	Fedora Local Security Checks	2015/9/8	2021/1/11	high
85652	Drupal 6.x < 6.37 複数の脆弱性	Nessus	CGI abuses	2015/8/26	2022/4/11	medium
85814	Fedora 22：drupal7-7.39-1.fc22（2015-13916）	Nessus	Fedora Local Security Checks	2015/9/8	2021/1/11	high
85823	Fedora 21：drupal6-6.37-1.fc21（2015-14442）	Nessus	Fedora Local Security Checks	2015/9/8	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high

high

medium

high

high