Drupal coreにおける不適切な認証

この脆弱性を悪用されると、攻撃者はQuick Edit機能を利用して、本来アクセス権限がないコンテンツを閲覧できるようになります。これにより、機密情報への不正アクセスや、データの改ざん、さらにはDrupalサイト全体の制御権の奪取といった深刻な被害が発生する可能性があります。特に、Quick Edit機能が有効になっているサイトや、アクセス制御が緩いサイトでは、攻撃のリスクが高まります。この脆弱性は、Drupal Standardプロファイルに同梱されているQuick Editモジュールがインストールされている場合にのみ影響を受けます。

Sites utilizing the Drupal Standard profile with the Quick Edit module enabled are specifically at risk. Organizations relying on Drupal for content management and with strict access control requirements should prioritize patching. Shared hosting environments using Drupal Standard are also particularly vulnerable due to the pre-installed Quick Edit module.

• drupal: Check Drupal core version using drush --version. If ≤9.3.5, the system is potentially vulnerable. • drupal: Verify Quick Edit module is enabled using drush en quickedit. Disable if not required. • drupal: Review user roles and permissions to ensure only authorized users have 'access in-place editing'. • generic web: Monitor Drupal logs (typically in /var/log/apache2/error.log or similar) for unusual access patterns or errors related to Quick Edit.

1. 2022-02-18Disclosure

   disclosure

1. 予約済み2022-02-16
2. 公開日2022-02-18
3. 更新日2025-12-10
4. EPSS 更新日2026-04-02

Drupal 9.3.6へのアップデートが推奨されます。もしアップデートが困難な場合は、Quick Editモジュールの使用を一時的に停止するか、アクセス制御を強化するなどの対策を講じてください。WAF（Web Application Firewall）を導入し、不正なアクセスを検知・遮断することも有効です。Drupalのアクセス制御設定を見直し、不要な権限を削除することも重要です。アップデート後、Quick Edit機能が正常に動作することを確認してください。