Drupal Core(SA-CORE-2019-006)および複数のモジュールの脆弱性について

この記事は「 Drupal core - Moderately critical - Cross Site Scripting - SA-CORE-2019-006 」の翻訳です。

この記事の目次

こんにちは、「Drupalの専門家による保守管理・セキュリティ診断サービス KAIZEN 」サポート担当の刀祢(とね)です。

DrupalセキュリティーチームからDrupalコア(SA-CORE-2019-006)および複数のモジュールのセキュリティーアドバイザリーが発表されました。Drupalをお使いの方はアップデートを実施してください。

アドバイザリ ID: DRUPAL-SA-CORE-2019-006
プロジェクト: Drupal core
日付: 2019年4月17日
セキュリティリスク：中程度に危険リスクレベル 10/25
AC:Complex/A:Admin/CI:Some/II:Some/E:Theoretical/TD:Uncommon
(リスクレベルの詳細説明はhttps://www.drupal.org/drupal-security-team/security-risk-levels-definedを参照してください。)
脆弱性：クロスサイトスクリプティング

詳細

jQueryのバージョン3.4.0がリリースされ、それに伴いこれ以前の全てのバージョンのjQuery.extend()の脆弱性が公開されました（詳細はリリースノートを参照して下さい）。この脆弱性はいくつかのDrupalモジュールへの攻撃を可能とします。

このDrupalセキュリティー・リリースでは、Drupalコアに含まれているjQueryのバージョン（Drupal 8の場合は3.2.1、Drupal 7の場合は1.4.4）を変更せずに今回のjQuery.extend()への修正をバックポートします。また jQuery UpdateのようなモジュールによってjQueryのバージョンをアップグレードしていてもこの修正は適用されます。