2025年2月に公開された複数のセキュリティアドバイザリーについて

アドバイザリーID: DRUPAL-SA-CORE-2025-001

元記事：https://www.drupal.org/sa-core-2025-001
プロジェクト: Drupal core
日付: 2025年2月19日
セキュリティーリスク：重大　リスクレベル17 (最大25)
AC:Basic/A:None/CI:Some/II:Some/E:Proof/TD:All
脆弱性：XSS（クロス・サイト・スクリプティング）
影響を受けるバージョン：>= 8.0.0 < 10.3.13 || >= 10.4.0 < 10.4.3 || >= 11.0.0 < 11.0.12 || >= 11.1.0 < 11.1.3

詳細

Drupalコアは、特定の状況下でエラーメッセージを十分にフィルタリングできず、反射型クロスサイトスクリプティング（XSS）脆弱性を引き起こす可能性があります。 サイトのアップデートが推奨されますが、現時点ではこの脆弱性を悪用するための手順は公開されていません。しかし、この問題の性質を考えると、近いうちに悪用の手順が公開される可能性があります。 この問題はDrupal Stewardによって保護されています。現在Drupal Stewardを使用しているサイトはすでに保護されていますが、近い将来にアップグレードすることが推奨されます。

解決法

以下の最新バージョンをインストールしてください。

• Drupal 10.3.xをご利用の場合はDrupal 10.3.13へアップデートしてください
• Drupal 10.4.xをご利用の場合はDrupal 10.4.3へアップデートしてください
• Drupal 11.0.xをご利用の場合はDrupal 11.0.12へアップデートしてください
• Drupal 11.1.xをご利用の場合はDrupal 11.1.3へアップデートしてください

Drupal 10のバージョンで10.3より前のものは全てサポートが終了しており、セキュリティーアップデートの適用を受けることはできません（Drupal 8および Drupal 9もすでにサポートが終了しています）。

アドバイザリーID: DRUPAL-SA-CORE-2025-002

元記事：https://www.drupal.org/sa-core-2025-002
プロジェクト: Drupal core
日付: 2025年2月19日
セキュリティーリスク：中程度　リスクレベル13 (最大25)
AC:Basic/A:User/CI:Some/II:Some/E:Theoretical/TD:Default
脆弱性：アクセスの迂回
影響を受けるバージョン：>= 8.0.0 < 10.3.13 || >= 10.4.0 < 10.4.3 || >= 11.0.0 < 11.0.12 || >= 11.1.0 < 11.1.3

詳細

バルク操作を使用すると、認証されたユーザーは一度に複数のノードを変更できます。これは、コンテンツページ (/admin/content) から行うことができます。また、サイトビルダーは、Views を使用して他のページにもバルク操作を追加できます。

コアのアクションシステムにバグがあり、一部のユーザーが個別のノードでは変更権限を持たないフィールドをバルク操作で変更できる可能性があります。

この脆弱性は、攻撃者が /admin/content またはカスタムビューにアクセスし、ノードを編集する権限を持っている必要があるので危険性は軽減されています。

具体的には、以下のバルク操作は「コンテンツを管理する」権限が必要になります。

• コンテンツをページ上部に固定する
• コンテンツのページ上部固定を解除する
• コンテンツをフロントページに表示する
• コンテンツを公開する
• コンテンツをフロントページから削除する
• コンテンツを非公開にする

解決法

以下の最新バージョンをインストールしてください。

• Drupal 10.3.xをご利用の場合はDrupal 10.3.13へアップデートしてください
• Drupal 10.4.xをご利用の場合はDrupal 10.4.3へアップデートしてください
• Drupal 11.0.xをご利用の場合はDrupal 11.0.12へアップデートしてください
• Drupal 11.1.xをご利用の場合はDrupal 11.1.3へアップデートしてください

Drupal 10のバージョンで10.3より前のものは全てサポートが終了しており、セキュリティーアップデートの適用を受けることはできません（Drupal 8および Drupal 9もすでにサポートが終了しています）。

アドバイザリーID: DRUPAL-SA-CORE-2025-003

元記事：https://www.drupal.org/sa-core-2025-003
プロジェクト: Drupal core
日付: 2025年2月19日
セキュリティーリスク：中程度　リスクレベル14 (最大25)
AC:Complex/A:Admin/CI:All/II:All/E:Theoretical/TD:Uncommon
脆弱性：ガジェット・チェーン
影響を受けるバージョン：>= 8.0.0 < 10.3.13 || >= 10.4.0 < 10.4.3 || >= 11.0.0 < 11.0.12 || >= 11.1.0 < 11.1.3

詳細

Drupalコアには、PHPオブジェクトインジェクションの潜在的な脆弱性があります。これは、別の攻撃手段と組み合わせると、任意のファイルインクルージョンにつながる可能性があります。この攻撃を遠隔コード実行に昇格させる手法がありますが、直接的に利用可能ではありません。

この問題は、脆弱性を利用するためには、攻撃者がunserialize()に安全でない入力を渡すことができる別の脆弱性が存在する必要があるので危険性は軽減されています。Drupalコアにはそのような既知の攻撃手段はありません。

解決法

以下の最新バージョンをインストールしてください。

• Drupal 10.3.xをご利用の場合はDrupal 10.3.13へアップデートしてください
• Drupal 10.4.xをご利用の場合はDrupal 10.4.3へアップデートしてください
• Drupal 11.0.xをご利用の場合はDrupal 11.0.12へアップデートしてください
• Drupal 11.1.xをご利用の場合はDrupal 11.1.3へアップデートしてください

Drupal 10のバージョンで10.3より前のものは全てサポートが終了しており、セキュリティーアップデートの適用を受けることはできません（Drupal 8および Drupal 9もすでにサポートが終了しています）。