Trusted Design

CVE-2019-6340 の詳細

CVEの情報

説明:
Some field types do not properly sanitize data from non-form sources in Drupal 8.5.x before 8.5.11 and Drupal 8.6.x before 8.6.10. This can lead to arbitrary PHP code execution in some cases. A site is only affected by this if one of the following conditions is met: The site has the Drupal 8 core RESTful Web Services (rest) module enabled and allows PATCH or POST requests, or the site has another web services module enabled, like JSON:API in Drupal 8, or Services or RESTful Web Services in Drupal 7. (Note: The Drupal 7 Services module itself does not require an update at this time, but you should apply other contributed updates associated with this advisory if Services is in use.)

CVE更新日: 2019-02-21 21:29:00.343000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2022-03-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.920170000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2019-6340について、以下の観点で解説します。

1. 脆弱性の概要

Drupal 8.5.x および 8.6.x の一部のフィールドタイプにおいて、フォーム以外のソースからのデータを適切にサニタイズしない脆弱性です。これにより、状況によっては任意のPHPコード実行が可能になります。この脆弱性は、RESTful Web Services等のREST APIでリクエストされたデータに対する検証不備に起因しており、不安全なデシリアライゼーションの問題に分類されます。

1.1 影響

本脆弱性が悪用されると、遠隔の第三者によってDrupalが動作するサーバー上で任意のPHPコードが実行される可能性があります (リモートコード実行 - RCE)。これにより、データの改ざんや流出、サービス運用妨害（DoS）などの被害が発生する恐れがあります。実際に、本脆弱性は大規模なワーム伝播やランサムウェアのマイニングに利用されるなど、既に攻撃に悪用されています。

1.2 深刻度

CVSS v3.1の基本評価スコアは 8.1 (HIGH) です。非常に危険度が高い脆弱性と評価されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性は、Drupalというコンテンツ管理システム（CMS）のコアソフトウェアに存在するため、特定のOSバージョンに直接的に影響するものではありません。Drupalアプリケーションが動作する環境に依存します。

2.2 影響を受ける設定

以下のDrupalのバージョンと条件が影響を受けます。

  • Drupal 8.6.x: 8.6.10より前のバージョン
  • Drupal 8.5.x: 8.5.11より前のバージョン
    • Drupal 8.5.xより前の8系のバージョンはサポートが終了していますが、本脆弱性の影響を受ける可能性が高いとされています。
  • Drupal 7系:
    • "RESTful Web Services" モジュールが有効になっている場合。
    • "Services" モジュールが有効になっている場合。

脆弱性の前提条件: 以下のいずれかの条件が満たされている場合に影響を受けます。

  • Drupal 8のコアモジュールである「RESTful Web Services (rest)」が有効になっており、PATCHまたはPOSTリクエストを許可している場合。
  • Drupal 8で「JSON:API」モジュール、またはDrupal 7で「Services」や「RESTful Web Services」といった他のWebサービスモジュールが有効になっている場合。

なお、「RESTful Web Services」モジュールはデフォルトでは無効に設定されています。 当初、攻撃はPATCHまたはPOSTメソッド経由とされていましたが、後にGETリクエストでも攻撃が成立することが確認されています。

3. 影響を受けた時の兆候

サーバー上で意図しないPHPコードが実行されることで、ウェブサイトの改ざん、データの漏洩、サーバーリソースの不正利用（例: 仮想通貨マイニング）、サービス停止などの異常な動作が発生する可能性があります。脆弱性情報公開後には、脆弱なDrupalバージョンを探索する試みが多数観測されています。

4. 推奨対策

4.1 本対策

  • Drupalコアのアップデート:
    • Drupal 8.6.xを使用している場合は、Drupal 8.6.10へアップグレードしてください。
    • Drupal 8.5.xを使用している場合は、Drupal 8.5.11へアップグレードしてください。
    • Drupal 8.5.xより前の8系のバージョンはサポートが終了しているため、8.5.xまたは8.6.xの最新版へのアップデートが推奨されます。
  • Drupalコアをアップデートした後、利用しているコントリビュートプロジェクト（モジュール）についても利用可能なセキュリティアップデートを適用してください。
  • Drupal 7についてはコアのアップデートは不要ですが、一部のコントリビュートモジュール（例: JSON:API, Metatag, Video, Paragraphs, Translation Management Tool, Font Awesome Icons (Drupal 8用); RESTful Web Services, Link (Drupal 7用)）にアップデートが必要です。

4.2 暫定回避策（緩和策）

  • すべてのWebサービスモジュール（RESTful Web Services, JSON:API, Servicesなど）を無効にする。
  • Webサーバーの設定を変更し、Webサービスリソースに対するPUT、PATCH、またはPOSTリクエストを許可しないようにする。Webサービスリソースは、サーバーの設定によって複数のパスで利用できる場合があることに注意してください。Drupal 8では、index.php/を前置した場合でもパスが機能する可能性があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る