【セキュリティパッチ情報】Services - Highly Critical - Arbitrary Code Execution - SA-CONTRIB-2017-029

Submitted by drupal-kanri on 金, 03/31/2017 - 01:55

2017年3月8日(日本時間:GMT+9)、拡張モジュールにおいて 脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID : DRUPAL-SA-CONTRIB-2016-029
●プロジェクト : Services (拡張モジュール)
●バージョン : 7.x
●投稿日 :2017/3/8
●セキュリティリスク : Highly Critical
●脆弱性 : Arbitrary PHP code execution

==概要==
このモジュールはAPIを構築するための標準化されたソリューションを提供し、外部のクライアントがDrupalと通信できるようにします。
このモジュールは、ユーザーがPHPのシリアライゼーションフォーマット ("Content-Type: application/vnd.php.serialized") で投稿したデータを受け入れます。それは任意のリモートによるコード実行に繋がる可能性があります。
この脆弱性は、攻撃者があなたのサービスのエンドポイントのパスを知っている必要があり、そしてそのサービスのエンドポイントがリクエストパーサーとして "application/vnd.php.serialized" を有効にしている必要があるという事実によって軽減されます。
このモジュールはデフォルトではエンドポイントを作成しませんが、サイトビルダーによって作られたすべてのエンドポイントで "application/vnd.php.serialized" リクエストパーサーは有効になっています。

==影響を受けるバージョン==
7.x-3.19.以前のServices 7.x-3.xバージョンです。
Drupalコアには影響がありません。Services拡張モジュールを使用していない場合は、何もする必要はありません。

==解決方法==
Drupal 7.xのServices 3.xモジュールを使用している場合はServices 7.x-3.19にアップグレードすることをお勧めします。
不正に使用されるのを防ぐために、Drupalの "Request parsing" 下にある "application/vnd.php.serialized" を無効にすることができます: /admin/structure/services/list/[my-endpoint]/server
より詳しい説明は https://www.drupal.org/project/services をご覧ください。

==元記事==
https://www.drupal.org/node/2858847