自己報告によるバージョン番号によると、検出された Drupal アプリケーションは、リモートコード実行の脆弱性の影響を受けます。

 - サードパーティの Symfony PHP フレームワークにいくつかの欠陥が存在します。

 - サードパーティの jQuery JavaScript ライブラリに欠陥が存在します。

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Symfony PHPフレームワークに、キャッシュバイパス、認証バイパス、情報漏えい、オープンリダイレクト、クロスサイトリクエストフォージェリ、任意のファイルの削除、または任意コードの実行の原因となる可能性のある、複数の脆弱性が見つかりました。

PHPのWebアプリケーションフレームワークであるsymfonyに複数のセキュリティ上の脆弱性が見つかりました。以下に挙げる多くのsymfonyコンポーネントが影響を受けます: フレームワークバンドル、依存性インジェクション、セキュリティ、HttpFoundation

CVE-2019-10909

PHPテンプレートエンジンのフォームテーマを使用するときに検証メッセージが回避されませんでした。検証メッセージにユーザー入力が含まれていると、XSSを引き起こす可能性があります。

詳細については、

https://symfony.com/blog/cve-2019-10909-escape-validation-messages-in-the-php-tempのアップストリームアドバイザリを参照してください。

CVE-2019-10910

フィルタリングされていないユーザー入力から派生したサービスIDは、任意コードの実行を引き起こし、リモートでコードが実行される可能性があります。

詳細については、https://symfony.com/blog/cve-2019-10910-check-service-ids-ar e-validのアップストリームアドバイザリを参照してください。

CVE-2019-10911

これにより、Cookieの有効期限の一部をユーザー名の一部と見なしたり、ユーザー名の一部を有効期限の一部と見なしたりする可能性のある状況が修正されます。攻撃者が「remember me」Cookieを変更し、別のユーザーとして認証される可能性があります。この攻撃は、remember me機能が有効で、2人のユーザーがパスワードハッシュまたはパスワードハッシュ
(UserInterface::getPassword()) がすべてのユーザーに対してnullの場合にのみ可能です（これは、パスワードがSSOなどの外部システムによってチェックされる場合に有効です）。

詳細については、

https://symfony.com/blog/cve-2019-10911-add-a-separator-in-the-remember-me-cookie-hashのアップストリームアドバイザリを参照してください。

CVE-2019-10913

HTTPメソッド自体、またはX-Http-Method-Overrideヘッダーを使用したHTTPメソッドは、以前、文字列の検証が行われずに問題のメソッドとして返されました。つまり、エスケープされない場合、危険なコンテキストで使用される可能性があります。

詳細については、

https://symfony.com/blog/cve-2019-10913-reject-invalid-http-method-overideのアップストリームアドバイザリを参照してください。

Debian 8「Jessie」では、これらの問題はバージョン2.3.21+dfsg-4+deb8u5で修正されました。

お使いのsymfonyパッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

- https://www.drupal.org/project/drupal/releases/8.6.15

    - https://www.drupal.org/SA-CORE-2019-005（CVE-2019-10909/CVE-2019-10910/CVE-2019-10911）

    - https://www.drupal.org/SA-CORE-2019-006（CVE-2019-11358）

- https://www.drupal.org/project/drupal/releases/8.6.14

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

自己報告されたバージョンによると、リモートのWebサーバーで実行されているDrupalのインスタンスは7.66より前の7.x、8.5.15より前の8.5.x、8.6.15より前の8.6.xです。したがって、複数の脆弱性による影響を受けます。- jQueryプロジェクトはバージョン3.4.0をリリースし、その一部として、以前のすべてのバージョンが影響を受けるセキュリティの脆弱性を公開しました。リリースノートに記載されているように、jQuery 3.4.0には、jQuery.extend（true、{}、...）を使用するときの意図しない動作の修正が含まれています。サニタイズされていないソースオブジェクトに列挙可能な__proto__プロパティが含まれている場合は、ネイティブのObject.prototypeを拡張できる可能性があります。この修正はjQuery 3.4.0に含まれていますが、以前のjQueryバージョンのパッチを適用するためのパッチ差分があります。この脆弱性が一部のDrupalモジュールによって悪用される可能性があります。念のため、このDrupalセキュリティリリースでは、Drupalコア（Drupal 8の場合は3.2.1、Drupal 7の場合は1.4.4）に含まれているjQueryのバージョンに変更を加えたり、jQuery Updateなどの他のモジュールを介してサイトで実行したりせずに、jQuery.extend()の修正をバックポートしています。（SA-CORE-2019-006）- このセキュリティリリースでは、Drupalコアに含まれる、またはDrupalコアで必要なサードパーティの依存関係を修正しています。CVE-2019-10909：PHPテンプレートエンジンの検証メッセージを回避します。そのアドバイザリから：PHPテンプレートエンジンのフォームテーマを使用するときに検証メッセージが回避されませんでした。検証メッセージにユーザー入力が含まれていると、XSSを引き起こす可能性があります。CVE-2019-10910：サービスIDのチェックが有効になります。そのアドバイザリから：フィルタリングされていないユーザー入力から派生したサービスIDは、任意のコードの実行を引き起こし、リモートでコードが実行される可能性があります。CVE-2019-10911：「remember me」Cookieのハッシュにセパレーターを追加します。そのアドバイザリから：これにより、Cookieの有効期限の一部をユーザー名の一部と見なしたり、ユーザー名の一部を有効期限の一部と見なしたりする可能性のある状況が修正されます。攻撃者が、「remember me」Cookieを変更し、別のユーザーとして認証させる可能性があります。この攻撃は、「remember me」機能が有効になっていて、2人のユーザーが1つのパスワードハッシュを共有しているか、すべてのユーザーに対してパスワードハッシュ（例：UserInterface::getPassword()）がnullになっている場合にのみ可能です（パスワードがSSOなどの外部システムによってチェックされている場合に有効になります）。（CVE-2019-10909、CVE-2019-10910、CVE-2019-10911）注：Nessusはこの問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Drupal セキュリティチームによる報告：

CVE-2019-10909: PHPテンプレートエンジンの検証メッセージを回避します。

CVE-2019-10910: サービスIDのチェックが有効になります。

CVE-2019-10911: 「remember me」Cookieのハッシュにセパレーターを追加します。

jQuery 3.4.0には、jQuery.extend (true、{}、...) を使用するときの意図しない動作の修正が含まれています。サニタイズされていないソースオブジェクトに列挙可能な__proto__プロパティが含まれている場合は、標準のObject.prototypeを拡張できる可能性があります。この修正はjQuery 3.4.0に含まれていますが、以前のjQueryバージョンのパッチを適用するためのパッチ差分があります。

この脆弱性が一部のDrupalモジュールによって悪用される可能性があります。念のため、このDrupalセキュリティリリースでは、Drupalコア (Drupal 8の場合は3.2.1、Drupal 7の場合は1.4.4) に含まれているjQueryのバージョンに変更を加えたり、jQuery Updateなどの他のモジュールを介してサイトで実行したりせずに、jQuery.extend()の修正をバックポートしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
98546	Drupal 7.x < 7.66複数の脆弱性	Web App Scanning	Component Vulnerability	2019/4/25	2023/3/14	critical
98545	Drupal 8.x < 8.5.15複数の脆弱性	Web App Scanning	Component Vulnerability	2019/4/25	2023/3/14	critical
98544	Drupal 8.6.x < 8.6.15複数の脆弱性	Web App Scanning	Component Vulnerability	2019/4/25	2023/3/14	critical
124779	DebianDSA-4441-1: symfony - セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/5/13	2020/1/21	critical
124657	DebianDLA-1778-1: symfonyのセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/5/7	2021/1/11	critical
124688	Fedora 30：drupal8（2019-eba8e44ee6）	Nessus	Fedora Local Security Checks	2019/5/8	2022/12/6	critical
124685	Fedora 28：drupal8（2019-1a3edd7e8a）	Nessus	Fedora Local Security Checks	2019/5/8	2022/12/5	critical
124686	Fedora 29：drupal8（2019-7eaf0bbe7c）	Nessus	Fedora Local Security Checks	2019/5/8	2022/12/5	critical
124176	Drupal 7.x < 7.66/8.5.x < 8.5.15/8.6.x < 8.6.15の複数の脆弱性（drupal-2019-04-17）	Nessus	CGI abuses	2019/4/19	2022/4/11	critical
124286	FreeBSD: drupal -- Drupalコア - 重要度中 (2bad8b5d-66fb-11e9-9815-78acc0a3b880)	Nessus	FreeBSD Local Security Checks	2019/4/25	2022/10/14	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical