「Drupal 8」に「Drupalgeddon 2.0」とは異なるあらたな脆弱性 - 重要度は「中」
コンテンツマネジメントシステム(CMS)の「Drupal」に、サードパーティ製モジュールに起因するあらたな脆弱性が判明した。深刻な脆弱性「CVE-2018-7600」とは異なるものだという。
コア部分に含まれるサードパーティ製のJavaScriptライブラリ「CKEditor」に、クロスサイトスクリプティング(XSS)の脆弱性が見つかったことから対処したもの。3月末に修正され、影響度も大きく、すでに国内でも攻撃が確認されている脆弱性「CVE-2018-7600」とは異なるものだ。
重要度は、5段階中3番目にあたる「中(Moderately Critical)」にレーティングされている。
開発チームでは、アップデートとして「同8.5.2」を公開。さらにサポートが終了しているバージョンに対して「同8.4.7」をリリースした。
「同7.x」に関しては影響を受けないとしているが、同モジュールやWYSIWYGモジュールの利用など、別途導入している場合は、「CKEditor」のサイトから「同4.9.2」をダウンロードして利用するよう呼びかけている。
(Security NEXT - 2018/04/19 )
ツイート
関連リンク
PR
関連記事
米当局、IPカメラやNVRの脆弱性悪用で注意喚起 - EOL製品は使用中止を
Fortinetの複数製品に脆弱性 - 「クリティカル」も
ブラウザ「Chrome」にアップデート - 複数の脆弱性を解消
「Laravel」のモニタリングツールに脆弱性 - アップデートで修正
「Apache Tomcat」に競合状態からコード実行が可能となる脆弱性
Go言語の暗号ライブラリに認証バイパスの脆弱性
「http4k」にXXE脆弱性 - リモートコード実行や情報漏洩のおそれ
Cleo製ファイル転送ソフト、複数脆弱性がランサムウェアの標的に
Windows向けソフトウェアデプロイツールに資格情報窃取のおそれ
テーマなどのカスタマイズができるWordPress向けプラグインに脆弱性