Drupal Core のガジェットチェーン脆弱性について (SA-CORE-2025-006)

アドバイザリーID: SA-CORE-2025-006

プロジェクト: Drupal core
日付: 2025 年 11 月 12 日
セキュリティーリスク：Moderately critical
14 ∕ 25 AC:Complex/A:Admin/CI:All/II:All/E:Theoretical/TD:Uncommon
脆弱性：Gadget chain
影響を受けるバージョン：>= 8.0.0 < 10.4.9 || >= 10.5.0 < 10.5.6 || >= 11.0.0 < 11.1.9 || >= 11.2.0 < 11.2.8

詳細

Drupal core には、サイト上に安全でないデシリアライゼーションの脆弱性が存在する場合に悪用可能なメソッドのチェーンが含まれています。この「ガジェット チェーン」と呼ばれるものは直接的な脅威を提示しませんが、アプリケーションが別の脆弱性により信頼できないデータをデシリアライズする場合、リモートコード実行を達成するために使用できるベクトルです。

これは直接的に悪用可能ではありません。

この問題は、悪用可能にするためには、攻撃者が unserialize() に安全でない入力を渡すことを許可する別の脆弱性が存在していなければならないという事実により軽減されています。Drupal core にはそのような既知のエクスプロイトは存在しません。

解決法

最新バージョンをインストールしてください：

• Drupal 10.4 を使用している場合、Drupal 10.4.9 にアップデートしてください。
• Drupal 10.5 を使用している場合、Drupal 10.5.6 にアップデートしてください。
• Drupal 11.1 を使用している場合、Drupal 11.1.9 にアップデートしてください。
• Drupal 11.2 を使用している場合、Drupal 11.2.8 にアップデートしてください。

Drupal 11.0.x、Drupal 10.3.x、およびそれ以下のバージョンは End-of-Life でありセキュリティサポートを受けていません。（Drupal 8 と Drupal 9 は両方とも End-of-Life に達しています。）

本文は Drupal.org Security Advisory 「SA-CORE-2025-006」(CC BY-SA 2.0) を翻訳したものです。
原文: https://www.drupal.org/sa-core-2025-006