Drupalにおけるリモートコード実行の脆弱性を検証（NTTデータ先端技術） | ScanNetSecurity
2020.04.09（木）
コンテンツ
注目検索ワード
ホーム › 調査・レポート・白書 › 調査・ホワイトペーパー › 記事

Drupalにおけるリモートコード実行の脆弱性を検証（NTTデータ先端技術）

NTTデータ先端技術は、Drupalに含まれるリモートコード実行に関する脆弱性（CVE-2018-7600）に関する検証レポートを公開した。

調査・レポート・白書 調査・ホワイトペーパー
NTTデータ先端技術株式会社は4月24日、Drupalに含まれるリモートコード実行に関する脆弱性（CVE-2018-7600）に関する検証レポートを公開した。この脆弱性は、2018年3月28日にDrupalのオープンソースコミュニティに所属するJasper Mattsson氏によって報告されたもので、Drupal Coreと呼ばれるDrupalの基本機能の実装において、DrupalのフォームAPIにおけるAJAXリクエストの処理機構で適切な処理がなされない欠陥に起因するもの。

この脆弱性が悪用されると、Drupal Coreと呼ばれるDrupalの基本機能の実装において、ユーザ認証を必要とせずリモートから任意のコードを実行される可能性がある。同コミュニティでは本脆弱性の深刻度を「Highly Critical」と評価している。

この脆弱性の再現性について、同社の鈴木涼太氏、野本竹春氏が検証を行った。検証は、CentOS 7.3.1611上のDrupal 8.4.5をターゲットシステムとして実施した。Drupalに対して任意のコード実行を目的とする不正に細工したHTTPリクエストをスクリプト実装し、攻撃コードを送信した。検証の結果、標的サーバ上にシステムファイルを配置し、参照可能な状態にすることに成功した。
《吉澤 亨史（ Kouji Yoshizawa ）》

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

もっと見る

Scan PREMIUM 会員限定記事特集をもっと見る

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

ManageEngine Desktop Central において FileStorage クラスにデシリアライズデータが注入可能な脆弱性（Scan Tech Report） 画像

ManageEngine Desktop Central において FileStorage クラスにデシリアライズデータが注入可能な脆弱性（Scan Tech Report）
「助成金とマスクを送る」新型コロナウイルスに乗じた犯罪に注意（金融庁） 画像

「助成金とマスクを送る」新型コロナウイルスに乗じた犯罪に注意（金融庁）
Amexカードを騙るフィッシングメール報告、注意を呼びかけ（フィッシング対策協議会） 画像

Amexカードを騙るフィッシングメール報告、注意を呼びかけ（フィッシング対策協議会）
Joomla!用プラグイン「AcyMailing」に任意のPHPコードを実行される脆弱性（JVN） 画像

Joomla!用プラグイン「AcyMailing」に任意のPHPコードを実行される脆弱性（JVN）
Periscope製「BuySpeed」にスクリプト実行の脆弱性（JVN） 画像

Periscope製「BuySpeed」にスクリプト実行の脆弱性（JVN）
中国の APT グループによる COVID-19 関連の攻撃が観測 ほか [Scan PREMIUM Monthly Executive Summary] 画像

中国の APT グループによる COVID-19 関連の攻撃が観測 ほか [Scan PREMIUM Monthly Executive Summary]

インシデント・事故 記事一覧へ

AWSで運用する広告配信管理システムへ不正アクセス、1,027ユーザーの情報が一時アクセス可能に（サイバーエージェント） 画像

AWSで運用する広告配信管理システムへ不正アクセス、1,027ユーザーの情報が一時アクセス可能に（サイバーエージェント）
「蔵王チーズオンラインショップ」に不正アクセス、約7ヶ月分の決済情報流出の可能性（蔵王酪農センター） 画像

「蔵王チーズオンラインショップ」に不正アクセス、約7ヶ月分の決済情報流出の可能性（蔵王酪農センター）
刑法に抵触する事業のプレスリリース配信、反社チェックは通過（PR TIMES） 画像

刑法に抵触する事業のプレスリリース配信、反社チェックは通過（PR TIMES）
電子誓約書サービスに不正アクセス、2016年からの誓約者情報が流出（S-Collection） 画像

電子誓約書サービスに不正アクセス、2016年からの誓約者情報が流出（S-Collection）
公用USBメモリを許可を得ず持ち出し紛失、懲戒処分に（福岡市） 画像

公用USBメモリを許可を得ず持ち出し紛失、懲戒処分に（福岡市）
楽天市場・ヤフーショッピング特化の自動更新ツールへ不正アクセス、一部改ざん被害も（Ryuki Design） 画像

楽天市場・ヤフーショッピング特化の自動更新ツールへ不正アクセス、一部改ざん被害も（Ryuki Design）

調査・レポート・白書 記事一覧へ

スマホのフィルタ設定率、高校生は32％に（東京都） 画像

スマホのフィルタ設定率、高校生は32％に（東京都）
きみに読んでほしい３冊：セキュリティブックガイド 第３回 ソリトンシステムズ 荒木 粧子 「セキュリティ業界に飛び込んだきみへ」 画像

きみに読んでほしい３冊：セキュリティブックガイド 第３回 ソリトンシステムズ 荒木 粧子 「セキュリティ業界に飛び込んだきみへ」
2019年消費者向けサイバーセキュリティ国際調査結果公開（ノートンライフロック） 画像

2019年消費者向けサイバーセキュリティ国際調査結果公開（ノートンライフロック）
「2019年度情報セキュリティに対する意識調査」公開（IPA） 画像

「2019年度情報セキュリティに対する意識調査」公開（IPA）
JPドメインが1年で約2万5千件増加、約7割が汎用（JPRS） 画像

JPドメインが1年で約2万5千件増加、約7割が汎用（JPRS）
BEC実態調査公開、もっとも多い攻撃アプローチは（JPCERT/CC） 画像

BEC実態調査公開、もっとも多い攻撃アプローチは（JPCERT/CC）

研修・セミナー・カンファレンス 記事一覧へ

AWSでのPCI DSS準拠や導入事例、オンラインセミナー開催（リンク） 画像

AWSでのPCI DSS準拠や導入事例、オンラインセミナー開催（リンク）
サプライチェーン攻撃対策に必要な発想の転換 ～ 海外攻撃事例に学ぶ 画像

サプライチェーン攻撃対策に必要な発想の転換 ～ 海外攻撃事例に学ぶ
サイバーセキュリティの新鋭集結、アジア各国の若者が互いの国を知る ～ GCC Tokyo 2020 画像

サイバーセキュリティの新鋭集結、アジア各国の若者が互いの国を知る ～ GCC Tokyo 2020
工場へのサイバー攻撃の実態、240日のおとりシステム運用でわかったこと（トレンドマイクロ） 画像

工場へのサイバー攻撃の実態、240日のおとりシステム運用でわかったこと（トレンドマイクロ）
ロシアのアクターは独立型？ 「ロシアＡＰＴ地図」から見えてきた事実 画像

ロシアのアクターは独立型？ 「ロシアＡＰＴ地図」から見えてきた事実
動画コンテスト「snsによるネット炎上」が優勝（トレンドマイクロ） 画像

動画コンテスト「snsによるネット炎上」が優勝（トレンドマイクロ）

製品・サービス・業界動向 記事一覧へ

在宅勤務用企業PCのセキュリティ診断、最短5日後に診断レポート提供（SHIFT SECURITY） 画像

在宅勤務用企業PCのセキュリティ診断、最短5日後に診断レポート提供（SHIFT SECURITY）
Amazon WorkSpacesで多要素認証を実現、「OneLogin」機能を提供（ペンティオ） 画像

Amazon WorkSpacesで多要素認証を実現、「OneLogin」機能を提供（ペンティオ）
期間限定で RSA SecurID Access 無償・特別価格提供、リモートアクセス急増受け（デル、EMCジャパン） 画像

期間限定で RSA SecurID Access 無償・特別価格提供、リモートアクセス急増受け（デル、EMCジャパン）
クラウドやハラスメントにも対応するフォレンジック調査（イエラエセキュリティ） 画像

クラウドやハラスメントにも対応するフォレンジック調査（イエラエセキュリティ）
脆弱性発見の初学者向けに動画を公開、倫理観などの向上を目指す（IPA） 画像

脆弱性発見の初学者向けに動画を公開、倫理観などの向上を目指す（IPA）
北米子会社が生体認証ソリューション企業であるFulcrum社を買収（富士通フロンテック） 画像

北米子会社が生体認証ソリューション企業であるFulcrum社を買収（富士通フロンテック）

おしらせ 記事一覧へ

ScanNetSecurity 創刊21周年御礼の辞（上野宣） 画像

ScanNetSecurity 創刊21周年御礼の辞（上野宣）
編集部海外取材土産プレゼント 2019 画像

編集部海外取材土産プレゼント 2019
[鋭意準備中] ScanNetSecurity に夏を告げる紳士を取材しました ～ Black Hat USA 2019 の見どころ 画像

[鋭意準備中] ScanNetSecurity に夏を告げる紳士を取材しました ～ Black Hat USA 2019 の見どころ
訂正謝罪記事：フェイクインタビュー記事配信について 画像

訂正謝罪記事：フェイクインタビュー記事配信について
毎月初に配信されている Scan PREMIUM Monthly Executive Summary とは？ 執筆者に聞くその内容と執筆方針 画像

毎月初に配信されている Scan PREMIUM Monthly Executive Summary とは？ 執筆者に聞くその内容と執筆方針
[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行 画像

[配信予告] ＣＳＩＲＴの終焉？ 平成最後のリスクテイク、桜の名所であの純愛カップルが撮影敢行
Page Top
★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★
★★ ( FB ログイン可) 会員限定記事、週 1 回のメルマガ、人気ニュースランキング、特集一覧をお届け…無料会員登録はアドレスのみで所要 1 分程度 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事をすべて閲覧できます。毎週月曜朝には一週間のまとめメルマガをお届けします（BASIC 登録後 PREMIUM にアップグレードすれば全ての限定コンテンツにフルアクセスできます）。
×