自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 9.2.16 より前の 9.2.x、または 9.3.9 より前の 9.3.x です。したがって、サードパーティのコンポーネントである HTTP リクエストと外部サービスへの応答を処理する Guzzle ライブラリを使用しているため、不適切なヘッダー解析の影響を受けます。攻撃者が改行文字に忍び込ませ、信頼できない値を渡す可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Ubuntu 20.04 LTS / 22.04 LTS ホストには、USN-6670-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - guzzlehttp/psr7 は PSR-7 HTTP メッセージライブラリです。1.8.4および 2.1.1より前のバージョンは、不適切なヘッダー解析に対して脆弱です。攻撃者が改行文字に忍び込ませ、信頼できない値を渡す可能性があります。この問題には、1.8.4 と 2.1.1 でパッチが適用されています。現在、既知の回避策はありません。(CVE-2022-24775)

  - guzzlehttp/psr7 は、PHP の PSR-7 HTTP メッセージライブラリの実装です。影響を受けるバージョンは、不適切なヘッダー解析の対象となります。攻撃者が改行 (\n) でヘッダー名と値の両方に忍び込む可能性があります。
    仕様では、ヘッダーリストの終了に \r\n\r\n を使用することになっているが、出回っている多くのサーバーも \n\n を受け入れます。これは、修正が不完全だった CVE-2022-24775 へのフォローアップです。この問題には、バージョン 1.9.1 および 2.4.5 でパッチが適用されています。この脆弱性に対する既知の回避策はありません。ユーザーにアップグレードすることを推奨します。(CVE-2023-29197)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 9.2.16より前の 9.2.x、または 9.3.9より前の 9.3.xです。したがって、脆弱性の影響を受けます。

  - guzzlehttp/psr7 は PSR-7 HTTP メッセージライブラリです。1.8.4および 2.1.1より前のバージョンは、不適切なヘッダー解析に対して脆弱です。攻撃者が改行文字に忍び込ませ、信頼できない値を渡す可能性があります。この問題には、1.8.4 および 2.1.1でパッチが適用されています。現在、既知の回避策はありません。(CVE-2022-24775)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
113209	Drupal 9.2.x < 9.2.16 のサードパーティライブラリの脆弱性	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
113208	Drupal 9.3.x < 9.3.9 のサードパーティライブラリの脆弱性	Web App Scanning	Component Vulnerability	2022/3/22	2023/3/14	high
191432	Ubuntu 20.04 LTS / 22.04 LTS : php-guzzlehttp-psr7 の脆弱性 (USN-6670-1)	Nessus	Ubuntu Local Security Checks	2024/2/29	2024/3/6	high
159145	Drupal 9.2.x< 9.2.16/ 9.3.x< 9.3.9Drupal の脆弱性 (SA-CORE-2022-006)	Nessus	CGI abuses	2022/3/22	2022/4/26	high

検出

プラグインの検索

high

high

high

high