【セキュリティパッチ情報】Coder - Highly Critical - Remote Code Execution - SA-CONTRIB-2016-039
2016年7月13日(日本時間：GMT+9)、拡張モジュールにおいて 脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。
●勧告ID ： DRUPAL-SA-CONTRIB-2016-039
●プロジェクト ： Coder (拡張モジュール)
●バージョン ： 7.x
●投稿日 ：2016/7/13
●セキュリティリスク ： Highly Critical
●脆弱性 ： Arbitrary PHP code execution
==概要==
Coderモジュールは、コーディング規約やその他の最適な基準に基づいてDrupalコードをチェックします。また、コーディング規約違反を修正し、モジュールの基本的なアップグレードを実行します。
このモジュールは、PHPエクステンションを含むスクリプトファイル内のユーザーインプットに対して、十分なバリデーションを実行することができません。
認証されていない悪意あるユーザーは、このファイルに直接リクエストを送信することで、任意のPHPコードを実行できます。
これに対する緩和要素はありません。エクスプロイトによる攻撃にあたって、モジュールが有効化されている必要はありません。
モジュールがファイルシステム上に存在し、WEBからアクセス可能であれば、攻撃を受ける可能性があります。
影響を受けるバージョンは、7.x-1.3以前の7.x-1.xバージョン及び7.x-2.6以前の7.x-2.xバージョンです。
該当する場合はCoder 7.x-1.3 もしくはCoder 7.x-2.6にアップグレードすることをお勧めします。
Drupalのコアには影響しませんし、 Coderモジュールを使用しない場合は、何もする必要はありません。
二つの解決策が挙げられます。
・一つ目は公開されている全てのウェブサイトからモジュールを取り除くことです。
コーダーモジュールは開発環境での使用を想定して作られたもので、公開されているサーバーでの利用は想定されていません。それゆえ、公開されているウェブサイト全てからコーダーモジュールディレクトリを一切取り除くことが一つの解決策となります。
・二つ目は最新のバージョンをインストールすることです。
Drupal 7.x用のコーダーモジュールをご利用の場合、Coder 7.x-1.3かCoder 7.x-2.6にアップグレードしてください。
コーダープロジェクトのページ（https://www.drupal.org/project/coder）もご参照ください。
