セキュリティ情報

【セキュリティー情報】DrupalChat - Critical - Multiple vulnerabilities - SA-CONTRIB-2017-057

2017-07-07
Critical
拡張モジュール

2017年7月5日(日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID : DRUPAL-SA-CONTRIB-2017-057
●プロジェクト :DrupalChat (拡張モジュール)
●バージョン : 7.x
●投稿日 :2017/7/05
●セキュリティリスク : Critical
●脆弱性 : Cross Site Scripting, Cross Site Request Forgery

==概要==
DrupalChat拡張モジュールはDrupalサイト訪問者同士のチャット機能、またはチャットルームを提供します。
本モジュールはチャットリクエストの有効性を十分に確認しない結果、CSRFの脆弱性が発生します。
本脆弱性によって攻撃者はユーザを任意ユーザに任意のメッセージを送らせる恐れがあります。
本モジュールは管理者によって提供されたテキストを分析しないため、XSSの脆弱性も発生しました。

【セキュリティー情報】OAuth - Critical - Access Bypass - SA-CONTRIB-2017-056

2017-07-07
Critical
拡張モジュール

2017年7月5日(日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID : DRUPAL-SA-CONTRIB-2017-056
●プロジェクト :OAuth (拡張モジュール)
●バージョン : 8.x
●投稿日 :2017/7/05
●セキュリティリスク : Critical
●脆弱性 : Access bypass

==概要==
本モジュールではOAuth 認証プロトコルによるリクエストを保護できます。
認証したユーザーは掲載していないノードなどのリソースをリクエストする際に、本モジュールはキャッシュAPIにレスポンスをキャッシングすることを防ぐように十分な通知をしません。
攻撃者は当サイトのアベイラブルリソースを知る必要があることによってこの脆弱性は低減されています。

【セキュリティー情報】Services - Critical - SQL Injection - SA-CONTRIB-2017-054

2017-06-29
Critical
拡張モジュール

2017/6/28(日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID :DRUPAL-SA-CONTRIB-2017-054
●プロジェクト : Services(拡張モジュール)
●投稿日 :2017/6/28

==概要==
このモジュールは外部クライアントがDrupalと通信/コミュニケーションできるためのAPIの一定した生成方法を提供します。

クライアントがクエリーしてデータを整理する際に本モジュールはクライアントによって規定した列指名を十分サニタイズしません。

この脆弱性はサイトがインデックスリソースを有効にしてある必要があり、攻撃者もエンドポイントURLを知る必要がある事実によって低減されます。

==影響を受けるバージョン==
7.x-3.20以前のServices7.x.-3.xバージョンです。
Drupalコアには影響がありません。
Services拡張モジュールを使用していない場合は、何もする必要はありません。

【セキュリティパッチ情報】Drupal Core - Multiple Vulnerabilities - SA-CORE-2017-003

2017-06-27
Critical
コア

2017年6月21日(日本時間:GMT +9)、Drupalコアにおいて脆弱性が発見されました。
インストールしているDrupalバージョンを確認のうえ、必要な場合はアップデートをおすすめします。

Drupal 8.3.4はセキュリティ上の脆弱性の修正を含むメンテナンスリリースです。

既存のDrupal 8をアップデートすることを強くお勧めします。(Drupal8の使用説明書をご覧ください。)このリリースはセキュリティ問題のみ修正しており、新しい特徴やセキュリティ関連のバグ修正はありません。重要な変更についての詳細の8.3.4リリースの注意をご覧いただき、このリリースに影響を与える問題点をご理解ください。このリリースで修正されたセキュリティ上の脆弱性の詳細をお読みください。

【セキュリティパッチ情報】LDAP - Critical - Data Injection - SA-CONTRIB-2017-052

2017-06-06
Critical
拡張モジュール

2017年5月31日(日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID :DRUPAL-SA-CONTRIB-2017-052
●プロジェクト : Lightweight Directory Access Protocol (LDAP)(拡張モジュール)
●バージョン : 7.x
●投稿日 :2017/05/31
●セキュリティリスク : Critical
●脆弱性 : Multiple vulnerabilities

==概要==
いくつかのケースで、LDAPモジュールがユーザーの入力を正しくサニタイズせず、ユーザーが制約なくパラメーターを修正したり、データを挿入できてしまう場合があります。

もしサイト管理者がユーザーフォームにEメールやパスワードを ("管理者権限"で表示する又は利用不可にする代わりに) 表示させないように選択した場合 、それらの値は上書きされてしまう可能性があります。

【セキュリティパッチ情報】Bootstrap - Critical - Information Disclosure - SA-CONTRIB-2017-048

2017-05-22
Critical
拡張モジュール

2017年5月17日 (日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID :DRUPAL-SA-CONTRIB-2017-048
●プロジェクト : Bootstrap(拡張モジュール)
●バージョン : 8.x
●投稿日 :2017/05/17
●セキュリティリスク : Critical
●脆弱性 : Information Disclosure

==概要==
Bootstrap拡張モジュール(テーマ)によってBootstrap FrameworkとDrupal間のギャップを埋めることができます。このテーマは送信したパスワードの値が間違っている場合にパスワードの値を十分に省きません。

==影響を受けるバージョン==
Bootstrapの8.x-3.5以下の8.x-3.xバージョンは影響を受けます。

Drupalコアには影響がありません。
Bootstrap拡張モジュールを使用していない場合は、何もする必要はありません。

【セキュリティパッチ情報】DRD Agent - Critical - Multiple vulnerabilites - SA-CONTRIB-2017-047

2017-05-18
Critical
拡張モジュール

2017年5月10日 (日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID :DRUPAL-SA-CONTRIB-2017-047
●プロジェクト : DRD Agent(拡張モジュール)
●バージョン : 6.x, 7.x, 8.x
●投稿日 :2017/05/10
●セキュリティリスク : Critical
●脆弱性 : Cross Site Request Forgery, Open Redirect

==概要==
Drupal Remote Dashboard (DRD)拡張モジュールはDrupalサイトにリモートアクセスできる機能を提供し、認証したDRDサイトからのリクエストに対応するのは本モジュール(リモートモジュール)のDRD Agent拡張モジュールです。

【セキュリティパッチ情報】Drupal Remote Dashboard - Critical - Weak encryption keys - SA-CONTRIB-2017-046

2017-05-16
Critical
拡張モジュール

2017年5月10日 (日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID :DRUPAL-SA-CONTRIB-2017-046
●プロジェクト : Drupal Remote Dashboard(拡張モジュール)
●バージョン : 8.x
●投稿日 :2017/05/10
●セキュリティリスク : Critical
●脆弱性 : Access Bypass, Information Disclosure
 (アクセスバイパス、情報解放)

==概要==
このモジュールはDrupalサイトにリモートアクセスできる機能を提供し、諸サイトを一所から管理できることを可能にします。

本モジュールはシステム管理者が暗証化タイプ条件基準を満たしている十分安全な暗号キーを使用しているかどうかを十分確保/擁護しません。したがって、管理ダッシュボードとサイト間コミュニケーションの弱い暗証化が原因で攻撃者によって復号化される恐れがあります。

【セキュリティーパッチ情報】Drupal Core - Critical - Access Bypass - SA-CORE-2017-002

2017-04-24
Critical
コア

2017年4月19日(日本時間:GMT+9)、Drupalコアにおいて脆弱性が発見されました。
インストールしているDrupalバージョンを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID : DRUPAL-SA-CORE-2017-002
●プロジェクト :Drupalコア
●バージョン : 8.x
●投稿日 :2017/4/19
●セキュリティリスク : Critical
●脆弱性 : Access bypass

==概要==
これはCriticalなAccess bypass脆弱性です。サイトに影響があるのは以下に記載されている条件の全てが満たしている場合のみです。

・RESTful Web Services (rest)拡張モジュールは有効である
・サイトはPATCH リクエストを可能にしている
・不正使用者はユーザーアカウントを入手できる、もしくは作成できる

普段、サポートしていないマイナーバージョンに関しましてセキュリティパッチを公開しませんが、可能な脆弱性を推定したところ、今回はまだバージョンアップできなかった方にもセキュリティパッチを提供します。

【セキュリティパッチ情報】Drupal 8 core upcoming critical release PSA-2017-001

2017-04-20
Critical
コア

2017年4月17日(日本時間:GMT+9)、Drupal8コアにおいて脆弱性が発見されました。
インストールしているDrupalバージョンを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID: DRUPAL-PSA-2017-001
●プロジェクト: Drupalコア
●バージョン:8.x
●投稿日: 2017/4/17

==概要==
Drupalコアにおいて脆弱性が発見された為、2017/04/19 17:00 - 18:00 UTC (日本時間:GMT+9; 2017/04/20 02:00 – 03:00)にDrupal 8.3.x、8.2.xバージョンのセキュリティパッチを公開する予定です。

普段、サポートしていないマイナーバージョンに関しましてセキュリティパッチを公開しませんが、可能な脆弱性を推定したところ、今回はまだバージョンアップできなかった方にもセキュリティパッチを提供する予定です。