Drupal Core の脆弱性について (SA-CORE-2022-009)

この記事は「 Drupal core - Moderately critical - Access bypass - SA-CORE-2022-009 」の翻訳です。

この記事の目次

こんにちは、「Drupalの専門家による保守管理・セキュリティ診断サービス KAIZEN 」サポート担当の刀祢(とね)です。

Drupal セキュリティーチームから Drupal コアのセキュリティーアドバイザリー（SA-CORE-2022-009）が発表されました。対象となっている Drupal をお使いの方はアップデートを実施してください。

アドバイザリーID: DRUPAL-SA-CORE-2022-009

プロジェクト: Drupal core
日付: 2022 年 4 月 20日
セキュリティーリスク：中程度　リスクレベル 13 (最大 25)
AC:Basic/A:User/CI:Some/II:Some/E:Theoretical/TD:Default
脆弱性：アクセス制限の迂回

詳細

Drupal 9.3 ではエンティティーのリビジョンのための汎用エンティティーアクセス API が実装されました。しかしこの API は既存の権限と完全に統合されていなかったため、コンテンツのリビジョンを一般的に使用するアクセス権を持っているものの、ノードやメディアコンテンツの個々の項目へのアクセス権を持っていないユーザーが、アクセス制限を迂回する可能性があります。

この脆弱性は、Drupal のリビジョンシステムを使用しているサイトのみに影響します。