- ひとことでDrupalのコアで、Webサービス経由のデータからPHPのコードを動かされる弱点です。
- 深刻度8.1 重要CVSS v3.1
- まずやることDrupal 8.6.xを8.6.10以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2019-6340 |
|---|---|
| 製品 | Drupal Core |
| 深刻度（CVSS） | 8.1 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-03-25 |
| 米国政府機関の対応期限 | 2022-04-15 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-502（信頼できないデータのデシリアライズ） |
何が起きた
Drupal のコア（本体）で、一部のフィールドの種類が、フォーム以外から届いたデータを正しく無害化しない弱点が見つかりました。その結果、場合によっては攻撃者が任意の（好きに選べる）PHP のコードを動かせます。ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できるとされています。実際の悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
NVD では Drupal 8.5.x の 8.5.11 より前と、8.6.x の 8.6.10 より前が対象とされています。Drupal の勧告では、8.0.0 以上 8.5.11 未満と、8.6.0 以上 8.6.10 未満が対象です。ただし、RESTful Web Services（rest）モジュールを有効にしている場合や、JSON:API などの別のWebサービス用モジュールを有効にしている場合に限られます。NVD の説明では PATCH や POST を受け付ける場合とされていますが、Drupal の勧告では GET だけを受け付ける場合も影響を受けるとしています。
何をすればいい
Drupal 8.6.x は 8.6.10 以降、8.5.x 以前は 8.5.11 以降に更新されているか確認してください。Drupal 7 は本体の更新は不要ですが、関連する追加モジュールの更新が必要です。すぐ更新できない場合は、Webサービス用のモジュールをすべて無効にするか、Webサーバーでそれらへの GET、PUT、PATCH、POST のリクエストを受け付けない設定にする方法が示されています。あわせて、公式の案内を確認してください。
やることチェックリスト
- Drupal 8.6.xを8.6.10以降に更新する
- 8.5.x以前は8.5.11以降に更新する
- 更新までWebサービス用のモジュールを無効にする
用語メモ
- モジュール
- Drupal などに機能を足すための部品です。必要なものだけを有効にして使います。
- Webサービス
- ほかのプログラムからデータを読み書きできるように用意された窓口です。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Drupal Core Remote Code Execution Vulnerability
概要
In Drupal Core, some field types do not properly sanitize data from non-form sources. This can lead to arbitrary PHP code execution in some cases.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る