自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 7.91より前の 7.x、9.3.19 より前の 9.3.x、または 9.4.3より前の 9.4.xです。そのため、以下の複数の脆弱性の影響を受けます。

 - 画像モジュールが、画像スタイルシステムを使用して派生画像を生成する際に、標準の公開ファイルディレクトリに保存されていない画像ファイルへのアクセスを正しくチェックしない場合があります。

 - 特定の状況で、Drupal コアフォーム API がフォーム要素のアクセスを不適切に評価します。これにより、ユーザーはアクセス権のないデータを変更できる可能性があります。

 - SA-CORE-2020-012 および SA-CORE-2019-010 の保護が、共に正しく機能しませんでした。その結果、htaccess 拡張子のあるファイルをアップロードできるようにサイトが構成されている場合、これらのファイルのファイル名は適切にサニタイズされません。これにより、Drupal コアのデフォルトの .htaccess ファイルによって提供される保護がバイパスされ、Apache Web サーバーでリモートコードが実行される可能性があります。

 - Media oEmbed iframe ルートが iframe ドメイン設定を適切に検証しないため、embed がプライマリドメインのコンテキストで表示される可能性があります。これにより、特定の状況下で、クロスサイトスクリプティング、Cookie の漏洩、またはその他の脆弱性が発生する可能性があります。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 35 ホストには、FEDORA-2022-bf18450366 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.10.0より前 jQuery UI の Dialog ウィジェットの jquery.ui.dialog.js のクロスサイトスクリプティング (XSS) の脆弱性により、リモート攻撃者が、タイトルオプションを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。
    (CVE-2010-5312)

  - 1.12.0より前の jQuery UI のクロスサイトスクリプティング (XSS) の脆弱性により、リモート攻撃者が、ダイアログ機能の closeText パラメーターを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。(CVE-2016-7103)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「altField」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0で修正されています。「altField」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「altField」オプションの値を受け入れないことです。
    (CVE-2021-41182)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「*Text」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0で修正されています。さまざまな「* Text」オプションに渡される値が、HTML ではなく常に純粋なテキストとして処理されるようになりました。回避策は、信頼できないソースからの「*Text」オプションの値を受け入れないことです。(CVE-2021-41183)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0 以前では、信頼されていないソースから「.position()」util の「of」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。「of」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「of」オプションの値を受け入れないことです。(CVE-2021-41184)

  - Drupal コアのフォーム API に脆弱性があり、特定のコントリビュートまたはカスタムモジュールのフォームが不適切な入力検証に対して脆弱である可能性があります。これにより、攻撃者が許可されていない値を注入したり、データを上書きしたりする可能性があります。影響を受けるフォームは一般的ではありませんが、特定の場合では、攻撃者が重要なデータや機密データを変更する可能性があります。(CVE-2022-25271)

  - 画像モジュールが、画像スタイルシステムを使用して派生画像を生成する際に、標準の公開ファイルディレクトリに保存されていない画像ファイルへのアクセスを正しくチェックしない場合があります。非公開ファイルへのアクセスは、それがプライベートファイルシステムに保存されている場合にのみチェックされます。ただし、一部の提供されたモジュールは、追加のファイルシステムまたはスキームを提供するため、この脆弱性につながる可能性があります。この脆弱性は、サイトが (Drupal 9) $config['image.settings'] ['allow_insecure_rivatives'] または (Drupal 7) $conf['image_allow_insecure_rivatives'] を TRUE に設定した場合にのみ適用されるという事実によって緩和されます。推奨されるデフォルト設定は FALSE であり、Drupal コアは管理 UI でこれを変更する方法を提供しません。一部のサイトでは、このセキュリティリリース後に構成の変更が必要になる場合があります。更新後にファイルまたはイメージスタイルへのアクセスに問題がある場合は、Drupal バージョンのリリースノートを確認してください。(CVE-2022-25275)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョンによると、リモートの Web サーバーで実行されている Drupal のインスタンスは 7.91より前の 7.x、9.3.19 より前の 9.3.x、および 9.4.3より前の 9.4.xです。したがって、複数の脆弱性の影響を受けます。

  - Media oEmbed iframe ルートが iframe ドメイン設定を適切に検証しないため、embed がプライマリドメインのコンテキストで表示される可能性があります。これにより、特定の状況下で、クロスサイトスクリプティング、Cookie の漏洩、またはその他の脆弱性が発生する可能性があります。このアドバイザリは Drupal Steward の対象ではありません。
    (CVE-2022-25276)

  - Apache Web サーバーのみに影響することを示す 2022-07-20 19:45 UTC を更新しました。Drupal コアは、アップロード時に危険な拡張子でファイル名をサニタイズし (参照: SA-CORE-2020-012)、ファイル名から先頭と末尾のドットを取り除き、サーバー構成ファイルのアップロードを防ぎます（参照: SA-CORE-2019-010)。ただし、これらの 2 つの脆弱性に対する保護は、以前は一緒に正しく動作しませんでした。その結果、htaccess 拡張子のあるファイルをアップロードできるようにサイトが構成されている場合、これらのファイルのファイル名は適切にサニタイズされません。これにより、Drupal コアのデフォルトの .htaccess ファイルによって提供される保護がバイパスされ、Apache Web サーバーでリモートコードが実行される可能性があります。この問題は、htaccess を拡張 (制限された権限) として許可するためにファイルフィールドを明示的に構成するか、許可されたファイルのアップロードをオーバーライドする提供されたモジュールまたはカスタムコードをフィールド管理者が要求するという事実によって緩和されます。(CVE-2022-25277)

  - 特定の状況で、Drupal コアフォーム API がフォーム要素のアクセスを不適切に評価します。これにより、ユーザーはアクセス権のないデータを変更できる可能性があります。Drupal コアが提供するフォームが脆弱であることが判明しているものはありません。ただし、提供されたフォームまたはカスタムモジュールまたはテーマを通じて追加されたフォームが影響を受ける可能性があります。このアドバイザリは、Drupal Stewardの対象ではありません。（CVE-2022-25278）

  - 画像モジュールが、画像スタイルシステムを使用して派生画像を生成する際に、標準の公開ファイルディレクトリに保存されていない画像ファイルへのアクセスを正しくチェックしない場合があります。非公開ファイルへのアクセスは、それがプライベートファイルシステムに保存されている場合にのみチェックされます。ただし、一部の提供されたモジュールは、追加のファイルシステムまたはスキームを提供するため、この脆弱性につながる可能性があります。この脆弱性は、サイトが (Drupal 9) $config['image.settings'] ['allow_insecure_rivatives'] または (Drupal 7) $conf['image_allow_insecure_rivatives'] を TRUE に設定した場合にのみ適用されるという事実によって緩和されます。推奨されるデフォルト設定は FALSE であり、Drupal コアは管理 UI でこれを変更する方法を提供しません。一部のサイトでは、このセキュリティリリース後に構成の変更が必要になる場合があります。更新後にファイルまたはイメージスタイルへのアクセスに問題がある場合は、Drupal バージョンのリリースノートを確認してください。(CVE-2022-25275)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 36 ホストには、FEDORA-2022-9d655503ea のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 1.10.0より前 jQuery UI の Dialog ウィジェットの jquery.ui.dialog.js のクロスサイトスクリプティング (XSS) の脆弱性により、リモート攻撃者が、タイトルオプションを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。
    (CVE-2010-5312)

  - 1.12.0より前の jQuery UI のクロスサイトスクリプティング (XSS) の脆弱性により、リモート攻撃者が、ダイアログ機能の closeText パラメーターを介して、任意の Web スクリプトまたは HTML を注入する可能性があります。(CVE-2016-7103)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「altField」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。「altField」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「altField」オプションの値を受け入れないことです。
    (CVE-2021-41182)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「*Text」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。さまざまな「* Text」オプションに渡される値が、HTML ではなく常に純粋なテキストとして処理されるようになりました。回避策は、信頼できないソースからの「*Text」オプションの値を受け入れないことです。(CVE-2021-41183)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0 以前では、信頼されていないソースから「.position()」util の「of」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。「of」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「of」オプションの値を受け入れないことです。(CVE-2021-41184)

  - Drupal コアのフォーム API に脆弱性があり、特定のコントリビュートまたはカスタムモジュールのフォームが不適切な入力検証に対して脆弱である可能性があります。これにより、攻撃者が許可されていない値を注入したり、データを上書きしたりする可能性があります。影響を受けるフォームは一般的ではありませんが、特定の場合では、攻撃者が重要なデータや機密データを変更する可能性があります。(CVE-2022-25271)

  - 画像モジュールが、画像スタイルシステムを使用して派生画像を生成する際に、標準の公開ファイルディレクトリに保存されていない画像ファイルへのアクセスを正しくチェックしない場合があります。非公開ファイルへのアクセスは、それがプライベートファイルシステムに保存されている場合にのみチェックされます。ただし、一部の提供されたモジュールは、追加のファイルシステムまたはスキームを提供するため、この脆弱性につながる可能性があります。この脆弱性は、サイトが (Drupal 9) $config['image.settings'] ['allow_insecure_rivatives'] または (Drupal 7) $conf['image_allow_insecure_rivatives'] を TRUE に設定した場合にのみ適用されるという事実によって緩和されます。推奨されるデフォルト設定は FALSE であり、Drupal コアは管理 UI でこれを変更する方法を提供しません。一部のサイトでは、このセキュリティリリース後に構成の変更が必要になる場合があります。更新後にファイルまたはイメージスタイルへのアクセスに問題がある場合は、Drupal バージョンのリリースノートを確認してください。(CVE-2022-25275)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
113314	Drupal 9.3.x < 9.3.19複数の脆弱性	Web App Scanning	Component Vulnerability	2022/7/21	2023/5/17	high
113313	Drupal 9.4.x < 9.4.3複数の脆弱性	Web App Scanning	Component Vulnerability	2022/7/21	2023/5/17	high
113315	Drupal 7.x < 7.91複数の脆弱性	Web App Scanning	Component Vulnerability	2022/7/21	2023/5/17	high
169112	Fedora 35: drupal7 (2022-bf18450366)	Nessus	Fedora Local Security Checks	2022/12/22	2023/9/12	high
163318	Drupal 7.x< 7.91/9.3.x < 9.3.19/9.4.x < 9.4.3の複数の脆弱性 (drupal-2022-07-20)	Nessus	CGI abuses	2022/7/21	2023/10/17	high
169174	Fedora 36: drupal7 (2022-9d655503ea)	Nessus	Fedora Local Security Checks	2022/12/23	2023/9/12	high

検出

プラグインの検索

high

high

high

high

high

high