Drupal Core の脆弱性について (SA-CORE-2022-010)

この記事は「 Drupal core - Moderately critical - Third-party libraries - SA-CORE-2022-010 」の翻訳です。

この記事の目次

こんにちは、「Drupalの専門家による保守管理・セキュリティ診断サービス KAIZEN 」サポート担当の刀祢(とね)です。

Drupal セキュリティーチームから Drupal コアのセキュリティーアドバイザリー（SA-CORE-2022-010）が発表されました。対象となっている Drupal をお使いの方はアップデートを実施してください。

アドバイザリーID: DRUPAL-SA-CORE-2022-010

プロジェクト: Drupal core
日付: 2022 年 5 月 25日
セキュリティーリスク：中程度　リスクレベル 13 (最大 25)
AC:Complex/A:None/CI:Some/II:Some/E:Theoretical/TD:Uncommon
脆弱性：サードパーティーのライブラリ
CVE IDs:CVE-2022-29248

詳細

Drupal は外部サービスへの HTTP リクエストとレスポンスの処理に、サードパーティー製の Guzzle ライブラリーを使用しています。Guzzle はセキュリティーアップデートをリリースしており、Drupal のコアには影響しませんが、Drupal サイト上の一部のコントリビュートモジュールやカスタムコードに影響を与える可能性があります。

このセキュリティ勧告は、Guzzle がすでに脆弱性に関する情報を公開しており、リクエストの送信に Guzzle を使用しているコントリビュートモジュールやカスタムモジュールに脆弱性が存在する可能性があるため、通常のDrupal セキュリティーリリースのスケジュール外で発行しています。Guzzle はこの脆弱性を高リスクと評価しています。