【セキュリティー情報】Session Cache API - Critical - Multiple vulnerabilities - DRUPAL-SA-CONTRIB-2017-065 drupal-kanri 木, 08/17/2017 - 03:14

2017年8月9日(日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID : DRUPAL-SA-CONTRIB-2017-065
●プロジェクト : Session Cache API (拡張モジュール)
●バージョン : 7.x, 8.x
●投稿日 :2017/8/9
●セキュリティリスク : Critical
●脆弱性 : Multiple Vulnerabilities

==概要==
本モジュールのシリアライゼーションへの対応は安全ではありません。

==影響を受けるバージョン==
Session Cache APIの 7.x-1.4のバージョンです。

Drupalコアには影響がありません。
Session Cache API拡張モジュールを使用していない場合は、何もする必要はありません。

【セキュリティー情報】Better field descriptions - Critical - XSS - SA-CONTRIB-2017-064 drupal-kanri 木, 08/17/2017 - 03:10

2017年8月9日(日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID : DRUPAL-SA-CONTRIB-2017-064
●プロジェクト : Better field descriptions (拡張モジュール)
●バージョン : 7.x
●投稿日 :2017/8/9
●セキュリティリスク : Critical
●脆弱性 : Cross Site Scripting

==概要==
Better field descriptionsモジュールはフォームのフィールドにおいてテーマ化できる記述追加を可能にします。

本モジュールは当記述を十分サニタイズしません。
攻撃者は“add better descriptions to fields“の権限がある役割を持つことよってこの脆弱性は軽減されます。

==影響を受けるバージョン==
Better field descriptionsの7.x-1.1以下の7.x-1.xのバージョンです。

【セキュリティー情報】Unsupported・SA-CONTRIB-2017-059・060・061・062 drupal-kanri 金, 08/04/2017 - 09:36

2017/8/2(日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID :DRUPAL-SA-CONTRIB-2017-59
●プロジェクト :  html_title(拡張モジュール)
●投稿日 :2017/8/2

●勧告ID :DRUPAL-SA-CONTRIB-2017-60
●プロジェクト :  baidu_analytics(拡張モジュール)
●投稿日 :2017/8/2

●勧告ID :DRUPAL-SA-CONTRIB-2017-61
●プロジェクト :  ajax_facets(拡張モジュール)
●投稿日 :2017/8/2

●勧告ID :DRUPAL-SA-CONTRIB-2017-62
●プロジェクト :  services_views(拡張モジュール)
●投稿日 :2017/8/2

「アーセナル」サッカーチームがDrupal 8を使用したウェブサイトを導入! drupal-kanri 木, 08/03/2017 - 03:20

イングランドのプレミアリーグで最も成功したサッカーチームの1つであり、130年以上にわたりレースを続けている「アーセナル」はDrupal8を使用した新ウェブサイトを公開しました!

最新ニュースはもちろんのこと、チームの歴史情報、チケット購入・予約、試合結果発表まで機能を備えています。是非「アーセナル」のウェブサイトをご覧になり、Drupal8の魅力を体験してみてください。

アーセナルウェブサイトURL:https://www.arsenal.com

元記事:http://buytaert.net/arsenal-using-drupal

Drupal Con Vienna 2017が開催されます!!! drupal-kanri 水, 08/02/2017 - 04:21

数千名のデベロッパーやデザイン制作者、ビジネス関係者が世界中から集うDrupal最大のイベント『Drupal Con』が2017年9月26日~29日までオーストラリアのウィーンにて開催されます。

DrupalCon Vienna2017

***概要***

■DrupalCon Vienna2017■

▼DrupalCon Vienna2017イベントページ
https://events.drupal.org/vienna2017

▼開催日
2017年9月26日(火) - 29日(金)

【セキュリティー情報】DrupalChat - Critical - Multiple vulnerabilities - SA-CONTRIB-2017-057 drupal-kanri 金, 07/07/2017 - 06:48

2017年7月5日(日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID : DRUPAL-SA-CONTRIB-2017-057
●プロジェクト :DrupalChat (拡張モジュール)
●バージョン : 7.x
●投稿日 :2017/7/05
●セキュリティリスク : Critical
●脆弱性 : Cross Site Scripting, Cross Site Request Forgery

==概要==
DrupalChat拡張モジュールはDrupalサイト訪問者同士のチャット機能、またはチャットルームを提供します。
本モジュールはチャットリクエストの有効性を十分に確認しない結果、CSRFの脆弱性が発生します。
本脆弱性によって攻撃者はユーザを任意ユーザに任意のメッセージを送らせる恐れがあります。
本モジュールは管理者によって提供されたテキストを分析しないため、XSSの脆弱性も発生しました。

【セキュリティー情報】OAuth - Critical - Access Bypass - SA-CONTRIB-2017-056 drupal-kanri 金, 07/07/2017 - 03:07

2017年7月5日(日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID : DRUPAL-SA-CONTRIB-2017-056
●プロジェクト :OAuth (拡張モジュール)
●バージョン : 8.x
●投稿日 :2017/7/05
●セキュリティリスク : Critical
●脆弱性 : Access bypass

==概要==
本モジュールではOAuth 認証プロトコルによるリクエストを保護できます。
認証したユーザーは掲載していないノードなどのリソースをリクエストする際に、本モジュールはキャッシュAPIにレスポンスをキャッシングすることを防ぐように十分な通知をしません。
攻撃者は当サイトのアベイラブルリソースを知る必要があることによってこの脆弱性は低減されています。

Drupal✖️最新テクノロジー 展示会開催のお知らせ drupal-kanri 木, 06/29/2017 - 07:57

2017年6月28日(水)~2017年6月30日(金)の3日間にわたり、オープンソースCMS『Drupal』とLINEモジュールの連携などを含めた最新のテクノロジーの展示が東京ビッグサイトにて開催されています。

【展示会概要】
Drupal For LINEモジュールの紹介や、セキュリティに優れた「Drupal」でIoTソリューションの開発など様々なインタラクティブ技術、ロボット、体感システム・先端素材などの演出技術が出展しています。
http://www.ct-next.jp/

▼日時
2017年6月28日(水)~2017年6月30日(金)
※10:00~18:00(最終日のみ17:00まで)

▼会場
東京ビッグサイト 東8ホール ロボットゾーン ブース番号: 21-50
http://www.bigsight.jp/access/

▼費用
無料

【セキュリティー情報】Services - Critical - SQL Injection - SA-CONTRIB-2017-054 drupal-kanri 木, 06/29/2017 - 02:41

2017/6/28(日本時間:GMT+9)、拡張モジュールにおいて脆弱性が発見されました。
インストールしているDrupalの導入モジュールを確認のうえ、必要な場合はアップデートをおすすめします。

●勧告ID :DRUPAL-SA-CONTRIB-2017-054
●プロジェクト : Services(拡張モジュール)
●投稿日 :2017/6/28

==概要==
このモジュールは外部クライアントがDrupalと通信/コミュニケーションできるためのAPIの一定した生成方法を提供します。

クライアントがクエリーしてデータを整理する際に本モジュールはクライアントによって規定した列指名を十分サニタイズしません。

この脆弱性はサイトがインデックスリソースを有効にしてある必要があり、攻撃者もエンドポイントURLを知る必要がある事実によって低減されます。

==影響を受けるバージョン==
7.x-3.20以前のServices7.x.-3.xバージョンです。
Drupalコアには影響がありません。
Services拡張モジュールを使用していない場合は、何もする必要はありません。

【セキュリティパッチ情報】Drupal Core - Multiple Vulnerabilities - SA-CORE-2017-003 drupal-kanri 火, 06/27/2017 - 06:54

2017年6月21日(日本時間:GMT +9)、Drupalコアにおいて脆弱性が発見されました。
インストールしているDrupalバージョンを確認のうえ、必要な場合はアップデートをおすすめします。

Drupal 8.3.4はセキュリティ上の脆弱性の修正を含むメンテナンスリリースです。

既存のDrupal 8をアップデートすることを強くお勧めします。(Drupal8の使用説明書をご覧ください。)このリリースはセキュリティ問題のみ修正しており、新しい特徴やセキュリティ関連のバグ修正はありません。重要な変更についての詳細の8.3.4リリースの注意をご覧いただき、このリリースに影響を与える問題点をご理解ください。このリリースで修正されたセキュリティ上の脆弱性の詳細をお読みください。