Drupal のパスワードハッシュ API 機能の実装に起因する DoS の脆弱性(Scan Tech Report)
Drupal のパスワードハッシュ API にサービス運用妨害 (DoS) が発生する脆弱性が報告されています。
脆弱性と脅威
エクスプロイト
Drupal のパスワードハッシュ API にサービス運用妨害 (DoS) が発生する脆弱性が報告されています。
悪意あるリモートの第三者に利用された場合、CPU リソースを大量消費させ、システムの正常な動作が妨害される可能性があります。
脆弱性を悪用された場合の影響度が高いため、影響を受けるバージョンの Drupal を利用するユーザは可能な限り以下の対策を実施することを推奨します。
2.深刻度(CVSS)
5.0
https://nvd.nist.gov/cvss.cfm?version=2&name=CVE-2014-9016&vector=%28AV:N/AC:L/Au:N/C:N/I:N/A:P%29
3.影響を受けるソフトウェア
Drupal 7.0 - 7.33
※1 Drupal 6.x で Secure Password Hashes モジュール 6.x-2.0 以前のバージョンを利用する環境も、この脆弱性の影響を受けます。また、Drupal 7 が含まれる、Debian などの Linux ディストリビューションも影響を受けます。
4.解説
Drupal は PHP で記述されたオープンソースのコンテンツ管理システム (CMS)です。
Drupal では、ユーザ認証で利用するパスワードをハッシュ化する機能 (パスワードハッシュ API※2) が、phpass ライブラリ※3 によって提供されています。
Drupal には、このパスワードハッシュ API (password.inc) において、ユーザから入力されたパスワードをハッシュ化する際に、長さチェックを適切に行わずハッシュ化してしまう不備があります。
このため、標的システムの Drupal で有効なユーザ名と過度に長いパスワードが含まれたリクエストを処理した場合、当該パスワードをハッシュ化するために、大量の CPU リソースを消費してしまう脆弱性が存在します。
この脆弱性を利用することで攻撃者は、Drupal を利用するシステムのパフォーマンスを低下させ、システムをサービス不能状態にする可能性があります。
なお、この脆弱性を攻撃者が悪用するためには、標的システムの Drupal で有効なユーザ名が既知である必要があります。
また、WordPress も phpass ライブラリを使用しているため、同様の脆弱性があることが報告されており、修正バージョン WordPress 4.0.1※4 が公開されています。
※2 http://www.openwall.com/phpass/
※3 https://api.drupal.org/api/drupal/includes!password.inc/7
※4 https://wordpress.org/news/2014/11/wordpress-4-0-1/
5.対策
以下の Web サイトより、Drupal 7.34 以降を入手しアップデートすることで、
この脆弱性を解消することが可能です。
Drupal 7.34:
https://www.drupal.org/project/drupal
また、Secure Password Hashes モジュールにおいては、以下の Web サイトよ
り、Secure Password Hashes 6.x-2.1 以降を入手しアップデートすることで、
この脆弱性を解消することが可能です。
SA-CONTRIB-2014-113:
https://www.drupal.org/node/2378367
6.ソースコード
(Web非公開)
(執筆:株式会社ラック サイバー・グリッド研究所)
※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録(有料)下さい。
Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html
ソース・関連リンク
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
-
ビッグ・ブラザー2024 ~ 監視カメラと画像分析 その高成長市場と国際動向
日本で監視カメラや CCTV と言えば、要監視施設等に設置してそれを録画して、何かあったら再生するという、インターネットもパソコン通信もなかった時代のスタンドアロン PC のような貧しい使い方しか想像力が及ばない。しかし中国や合衆国のような、治安維持のための人権制限を合法とする国では、街頭や交通機関、店舗、オフィスなど都市の至る所に設置した画像を XDR や SOC のように集積し、かなりドラスティックな解析を行う。
-
今日もどこかで情報漏えい 第23回「2024年3月の情報漏えい」なめるなという決意 ここまでやるという矜恃
今回は毛色が違う。営業DXサービス「Sansan」を利用中の顧客に対し、不正にIDやパスワードを入手しログインしたとして、不正アクセス禁止法違反の疑いで会社員が逮捕された旨の報道があったと、その社員とは無関係の「Sansan」を提供するSansan株式会社が公表を行ったことだ。感覚的には「Gmail アカウントが乗っ取られスパムメール送信に利用された件について犯人が逮捕された」と Google が発表するようなものだろうか。
-
Linux の GSM ドライバにおける Use-After-Free の脆弱性(Scan Tech Report)
2024 年 1 月に公開された、Linux カーネルの脆弱性を悪用するエクスプロイトコードが公開されています。攻撃者は当該脆弱性の悪用により、一般権限での侵入に成功した OS の管理者権限が奪取可能です。Linux カーネルのアップデートにより対策してください。