Debian セキュリティ勧告

DSA-2851-1 drupal6 -- impersonation

報告日時:

2014-02-02

影響を受けるパッケージ:

drupal6

危険性:

あり

参考セキュリティデータベース:

Mitre の CVE 辞書: CVE-2014-1475.

詳細:

Christian Mainka さんと Vladislav Mladenov さんが Drupal、多機能コンテント管理基盤の OpenID モジュールの脆弱性を報告しています。悪意のあるユーザがこの欠陥を悪用して管理者を含めたサイト上の他のユーザでログインし、そのアカウントを乗っ取ることが可能です。

今回の修正ではデータベースに対する更新が追加で必要となり、管理ページから行うことができます。

旧安定版 (oldstable) ディストリビューション (squeeze) では、この問題はバージョン 6.30-1 で修正されています。

直ちに drupal6 パッケージをアップグレードすることを勧めます。