Drupal Core(SA-CORE-2019-007)の脆弱性について

この記事は「 Drupal core - Moderately critical - Cross Site Scripting - SA-CORE-2019-007 」の翻訳です。

この記事の目次

こんにちは、「Drupalの専門家による保守管理・セキュリティ診断サービス KAIZEN 」サポート担当の刀祢(とね)です。

DrupalセキュリティーチームからDrupalコア(SA-CORE-2019-007)のセキュリティーアドバイザリーが発表されました。Drupalをお使いの方はアップデートを実施してください。

アドバイザリ ID: DRUPAL-SA-CORE-2019-007
プロジェクト: Drupal core
日付: 2019年5月8日
セキュリティリスク：中程度に危険 リスクレベル 14/25
AC:Complex/A:Admin/CI:All/II:All/E:Theoretical/TD:Uncommon
(リスクレベルの詳細説明はhttps://www.drupal.org/drupal-security-team/security-risk-levels-definedを参照してください。)
脆弱性：サードパーティーのライブラリー

詳細

このセキュリティリリースはDrupalコアが依存しているサードパーティーライブラリーであるtypo3/phar-stream-wrapperの脆弱性を回避するために、その最新版のライブラリーを参照するように変更するものです。脆弱性の内容はPharアーカイブファイルの正当なパス名のチェックに不備があり、異なるパスにある悪意のあるアーカイブファイルを展開してしまうというものです。

詳細はTYPO3-PSA-2019-007: By-passing protection of Phar Stream Wrapper Interceptor に説明されています。