Drupal core アクセスバイパス

Drupal Core の CVE-2024-55634 は、特定のユーザーフィールドの一意性チェックに影響を与えます。データベースエンジンと照合順序によって一意性チェックに不整合があると、ユーザーが別の既存のユーザーと同じメールアドレスで登録できるようになる可能性があります。これにより、データの整合性が損なわれ、ユーザーの身元が混乱したり、アクセス問題が発生したり、アカウント管理の競合が発生したりする可能性があります。この脆弱性は、Drupal Core の 8.0.0 から 10.2.10、10.3.0 から 10.3.8、および 11.0.0 から 11.0.7 までのバージョンに影響を与えます。この脆弱性の重大度は中程度であり、リモートコード実行は許可されないものの、データの整合性を損ない、プラットフォームのセキュリティに重大な影響を与える可能性があります。

Organizations and individuals using Drupal Core versions 8.0.0 through 9.5.9 are at risk. This includes websites and applications built on Drupal that rely on accurate user data and email communication. Sites with custom user registration modules or integrations should also be carefully reviewed to ensure they do not exacerbate the vulnerability.

• drupal: Check Drupal Core version using drush --version.

drush --version

• drupal: Review Drupal logs (sites/[site]/logs/drupal.log) for unusual registration patterns or errors related to email uniqueness. • generic web: Monitor user registration endpoints for suspicious activity using web application firewalls (WAFs) or intrusion detection systems (IDS).

1. 2024-12-10Disclosure

   disclosure

1. 予約済み2024-12-09
2. 公開日2024-12-10
3. 更新日2025-12-10
4. EPSS 更新日2026-04-02

この脆弱性の解決策は、使用しているバージョンに応じて、Drupal Core をバージョン 10.2.11、10.3.9、または 11.0.8 に更新することです。これらのバージョンには、すべてのサポートされているデータベースエンジンと照合順序で一意性チェックの一貫性を確保する修正が含まれています。脆弱性の悪用リスクを軽減するために、できるだけ早くこの更新を実行することをお勧めします。さらに、データベースログを調べて、潜在的な重複レコードを特定し、必要に応じて手動で修正します。ユーザーフィールドと対話するカスタムモジュールを使用している Web サイトの場合、これらのモジュールも修正と互換性があることを確認し、必要に応じて更新することが重要です。更新は、Drupal の更新に関するベストプラクティスに従って実行する必要があります。これには、サイトのバックアップを作成し、本番環境に更新を適用する前に開発環境でテストすることが含まれます。