Drupal Drupal core の危険なファイルのアップロードの脆弱性（CVE-2020-13671）

何が起きた

Drupal core で、アップロードされたファイルの名前を正しく処理していないため、ファイルが本来と違う拡張子として扱われ、間違った MIME タイプで配信されたり、サーバーの設定によっては PHP として実行されたりする弱点が見つかりました。CISA によると、この弱点は実際の攻撃に悪用されています。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Drupal でサイトを運営している人や組織が対象です。影響を受けるのは、9.0 系の 9.0.8 より前、8.9 系の 8.9.9 より前、8.0.0 以上 8.8.11 未満、7 系の 7.74 より前です。Drupal によると、8.8 より前の 8 系はサポートが終わっていて、セキュリティの修正を受けられません。

何をすればいい

Drupal の公式の案内を確認し、9.0 系は 9.0.8、8.9 系は 8.9.9、8.8 系以前は 8.8.11、7 系は 7.74 以降に更新してください。Drupal は、これまでにアップロードされたファイルを点検し、filename.php.txt のように拡張子が二つ以上あるファイルがないか調べることも勧めています。

やることチェックリスト

• Drupal のバージョンを確かめる
• Drupal を系列ごとの修正版以降に更新する
• 拡張子が二つ以上あるアップロード済みファイルを探す

用語メモ

拡張子

ファイル名の最後に付く .php や .txt などの部分で、ファイルの種類を表します。

MIME タイプ

ウェブで送るファイルが、画像なのか文章なのかなどの種類を伝えるための情報です。

PHP

ウェブサーバーで動くプログラムを書くための言語です。