自己報告によるバージョン番号によると、検出された Drupal アプリケーションは、リモートコード実行の脆弱性の影響を受けます。

 - 特定の操作中に PHP オブジェクトを安全に処理しないため、PECL YAML パーサーに欠陥が存在します。認証されていないリモート攻撃者がこの脆弱性を悪用し、任意のコードを実行する可能性があります。 (CVE-2017-6920)

 - ファイルの操作時、複数のフィールドに対してユーザー指定入力が不適切に検証されるため、ファイル REST リソースに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、整合性に詳細不明な影響を与える可能性があります。サイトで RESTful Web Services (rest) モジュールが有効化され、ファイル REST リソースが有効で、パッチリクエストが許可されており、攻撃者がファイルをアップロードし、ファイルリソースを変更する権限を持ち、サイトでユーザーアカウントを取得または登録できる場合にのみ、サイトはこの問題の影響を受けます。(CVE-2017-6921)

 - 匿名のユーザーが、サイトのコンテンツに永続的にはアタッチされないプライベートファイルをアップロードしたとき、すべての匿名ユーザーには表示されずアップロードした匿名ユーザーにのみ表示されるようにすることができないため、情報漏洩の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、他の匿名ユーザーのファイルを漏洩させる可能性があります。(CVE-2017-6922)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

自己報告されたバージョンによると、リモートのWebサーバーで実行されているDrupalのインスタンスは7.56より前の7.xまたは8.3.4より前の8.xです。したがって、次のような複数の脆弱性の影響を受けます。 - 特定の操作でPHPオブジェクトを安全に処理できないため、PECL YAMLパーサーに欠陥があります。認証されていないリモートの攻撃者がこの脆弱性を悪用し、任意のコードを実行する可能性があります。（CVE-2017-6920）- ファイルの操作時、複数のフィールドにユーザーが入力するとき、データが不適切に検証されるため、ファイルRESTリソースに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、整合性に詳細不明な影響を与える可能性があります。サイトでRESTful Web Service（rest）モジュールが有効化され、ファイルRESTリソースが有効、かつPATCHリクエストが許可されており、攻撃者がファイルをアップロードし、ファイルリソースを変更する権限を持ち、サイトでユーザーアカウントを取得または登録できる場合にのみ、サイトはこの問題の影響を受けます。（CVE-2017-6921）- 匿名のユーザーが、サイトのコンテンツに永続的にはアタッチされないプライベートファイルをアップロードしたとき、すべての匿名ユーザーには表示されずアップロードした匿名ユーザーにのみ表示されるようにすることができないため、情報漏えいの脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、他の匿名ユーザーのファイルを漏えいさせる可能性があります。（CVE-2017-6922）Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Drupalセキュリティチームによる報告:

CVE-2017-6920:PECL YAMLパーサーの安全でないオブジェクト処理。

CVE-2017-6921:ファイルRESTリソースが適切に検証しません

CVE-2017-6922:匿名ユーザーがプライベートファイルシステムにアップロードしたファイルに、他の匿名ユーザーがアクセスできます。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
98559	Drupal 7.x < 7.56複数の脆弱性	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	critical
98558	Drupal 8.x < 8.3.4複数の脆弱性	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	critical
101063	Drupal 7.x < 7.56/8.x < 8.3.4の複数の脆弱性（SA-CORE-2017-003）	Nessus	CGI abuses	2017/6/27	2022/4/11	critical
101276	FreeBSD: drupal -- Drupalコア - 複数の脆弱性（4fc2df49-6279-11e7-be0f-6cf0497db129）	Nessus	FreeBSD Local Security Checks	2017/7/7	2021/1/4	critical

検出

プラグインの検索

critical

critical

critical

critical