Drupal Coreにおける動的に決定されるオブジェクト属性の不適切な制御による変更の脆弱性

CVE-2025-31674 は、Drupal core のオブジェクトインジェクションの脆弱性であり、攻撃者が動的に決定されたオブジェクト属性を制御不能な方法で変更することを可能にします。これにより、リモートコード実行、権限昇格、サービス拒否が発生する可能性があります。脆弱性は、Drupal core のバージョン 8.0.0 から 10.3.12、10.4.0 から 10.4.2、11.0.0 から 11.0.11、および 11.1.0 から 11.1.2 に影響します。この脆弱性の深刻度は高く、攻撃者は多くの場合認証なしで悪用できる可能性があります。オブジェクトインジェクションは、セキュリティ侵害を防ぐために、直ちに対応が必要な重要な脆弱性です。

1. 予約済み2025-03-31
2. 公開日2025-04-01
3. 更新日2025-12-10
4. EPSS 更新日2026-03-23

CVE-2025-31674 の主な軽減策は、Drupal core をそれぞれバージョン 10.3.13、10.4.3、11.0.12、または 11.1.3 に更新することです。これらのバージョンには、脆弱性を修正するために必要なパッチが含まれています。さらに、インストールされているサードパーティ製モジュールを確認して、最新の状態に保ち、新しい脆弱性を導入していないことを確認することをお勧めします。入力検証やデータサニタイズなどの適切なセキュリティプラクティスを実装することで、悪用のリスクを軽減することもできます。サーバーログを監視して疑わしいアクティビティを検出し、対応することが重要です。Drupal サイトの定期的なセキュリティ監査は、悪用される前に脆弱性を特定し、修正するのに役立ちます。