【セキュリティパッチ情報】DRD Agent - Critical - Multiple vulnerabilites - SA-CONTRIB-2017-047

Submitted by drupal-kanri on 木, 05/18/2017 - 01:35

2017年5月10日 (日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID :DRUPAL-SA-CONTRIB-2017-047
●プロジェクト : DRD Agent(拡張モジュール)
●バージョン : 6.x, 7.x, 8.x
●投稿日 :2017/05/10
●セキュリティリスク : Critical
●脆弱性 : Cross Site Request Forgery, Open Redirect

==概要==
Drupal Remote Dashboard (DRD)拡張モジュールはDrupalサイトにリモートアクセスできる機能を提供し、認証したDRDサイトからのリクエストに対応するのは本モジュール(リモートモジュール)のDRD Agent拡張モジュールです。

本モジュールは使用されているURLをCSRF攻撃に対して十分擁護しません。そのため、特別URLを使用してDRD Agentを再構成(リーコンフィグア)し、管理人が任意のURLにリダイレクトされるというユーザーによる不正使用の恐れがあります。

==影響を受けるバージョン==
DRD Agentの7.x-3.1未満の7.x-3.xバージョン、もしくはDRD Agentの8.x-3.1未満の8.x-3.xのバージョンです。
Drupalコアには影響がありません。
DRD Agent 拡張モジュールを使用していない場合は、何もする必要はありません。

==解決方法==。
Drupal 7.xバージョン用のDRD Agent 拡張モジュールを使用している場合は、DRD Agentの7.x-3.1バージョンにアップグレードをお勧めします。
Drupal 8.xバージョン用のDRD Agent 拡張モジュールを使用している場合は、DRD Agentの8.x-3.1バージョンにアップグレードをお勧めします。
より詳しい説明はhttps://www.drupal.org/project/drd_agent をご覧ください。

==元記事==
https://www.drupal.org/node/2877392