定番の脆弱性 › CVE-2018-7600
Drupalgeddon2（CVE-2018-7600）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
公開日:
過去の事例 この記事は過去に話題になった脆弱性の解説です。現在の状況は公式情報でご確認ください。
基本情報（データから表示）
| 通称 | Drupalgeddon2 |
|---|---|
| CVE番号 | CVE-2018-7600 |
| いつ起きたか | NVD に登録された日: 2018-03-29 KEV に追加された日: 2021-11-03 |
| 製品 | Drupal Drupal Core |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-20 |
何が起きた
Drupal Coreに、遠隔から任意のコードを実行される弱点が見つかり、実際に悪用が確認されました。ネットワーク経由で、権限を持たない攻撃者が悪用できる条件でした。この問題により、サイトが完全に乗っ取られる可能性がありました。ランサムウェアを使った攻撃にも悪用されたことが分かっています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Drupal Coreを使っている人や組織が影響を受けます。影響を受けるバージョンは、Drupal 7.58未満、8.3.9未満の8.x、8.4.6未満の8.4.x、8.5.1未満の8.5.xです。
何をすればいい
今でも古いバージョンが使われていないか確認してください。Drupal 7.58、8.3.9、8.4.6、8.5.1以降に更新します。すぐに更新できない場合は、Drupalの公式が公開した修正パッチを当ててください。Drupalの公式の案内も確認しましょう。
やることチェックリスト
- 7.58、8.3.9、8.4.6、8.5.1以降に更新する
- すぐ更新できなければ修正パッチを当てる
- 更新していない古いDrupalのサイトを探す
用語メモ
- 任意のコード
- 攻撃者が好きに選べるプログラムのことです。
- ランサムウェア
- データを使えなくして、元に戻すことと引き換えにお金を要求する不正なプログラムのことです。
- パッチ
- ソフトウェアの不具合や弱点を直すための修正プログラムのことです。
元データ（英語）
Drupal Core Remote Code Execution Vulnerability
概要（CISA KEV）
Drupal Core contains a remote code execution vulnerability that could allow an attacker to exploit multiple attack vectors on a Drupal site, resulting in complete site compromise.
説明（NVD）
Drupal before 7.58, 8.x before 8.3.9, 8.4.x before 8.4.6, and 8.5.x before 8.5.1 allows remote attackers to execute arbitrary code because of an issue affecting multiple subsystems with default or common module configurations.