米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は6月13日(米国時間)、「Drupal Releases Security Updates｜CISA」において、オープンソースのCMS「Drupal」が使っているGuzzleサードパーティライブラリに脆弱性が存在すると伝えた。この脆弱性を悪用されると、攻撃者によって影響を受けたシステムの制御権が乗っ取られる危険性があるとされている。

脆弱性に関する情報は次のページにまとまっている。

  • Drupal core - Moderately critical - Third-party libraries - SA-CORE-2022-011｜Drupal.org

    Drupal core - Moderately critical - Third-party libraries - SA-CORE-2022-011 ｜ Drupal.org

脆弱性が存在するとされるプロダクトは次のとおり。

  • Drupal 9.4
  • Drupal 9.3
  • Drupal 9.2

脆弱性が修正されたプロダクトおよびバージョンは次のとおり。

  • Drupal 9.4.0-rc2
  • Drupal 9.3.16
  • Drupal 9.2.21

DrupalはGuzzleライブラリを使用してHTTPリクエストと外部サービスへの応答を処理している。今回の脆弱性はDrupalのコアそのものには影響を与えないが、Drupalサイトへのコントリビュートプロジェクトやカスタムコードが影響を受けるリスクがあるとされており注意が必要。

CISAは、上記のセキュリティ情報をチェックするとともに、必要に応じてアップデートを適用することを推奨している。