Linodeセキュリティ・ダイジェスト 2022年7月24日～31日

今週は、新たに発見されたOpenJDKの脆弱性、Redisにおけるヒープオーバーフローの脆弱性、Drupal coreにおける任意のPHPコードの実行を取り上げます。

OpenJDKの脆弱性

OpenJDKは先週、4つの脆弱性を含むセキュリティアドバイザリを公開しました。 

CVE-2022-21541は、hotspot/runtimeコンポーネントの脆弱性を利用することが困難で、複数のプロトコルを介してネットワークアクセスを行う未認証の攻撃者が Java を侵害し、重要データまたはすべての openjdk アクセスデータへの不正な作成、削除、変更アクセスにつながる可能性がある脆弱性です。 

CVE-2022-21540は、 hotspot/compilerコンポーネントに存在し、複数のプロトコルを介したネットワークアクセスにより、未認証の攻撃者が openjdk アクセスデータのサブセットへの不正な読み取りアクセスを可能にする、容易に悪用できる欠陥です。この脆弱性は、データの機密性にはほとんど影響を与えません。

core-libs/java.utilコンポーネントにCVE-2022-21549があり、openjdk のアクセス可能なデータの一部に不正な更新、挿入、削除アクセスが発生する可能性があります。

注：3つの脆弱性はすべて、信頼できないコード（例えば、インターネットから来るコード）をロードして実行し、セキュリティのためにJavaのサンドボックスに依存しているJavaの展開、典型的にはサンドボックス化されたJava Web Startアプリケーションまたはサンドボックス化されたJavaアプレットを実行しているクライアントに当てはまります。また、APIにデータを供給するWebサービスなど、指定されたコンポーネントのAPIを使用することによっても、これらの脆弱性が悪用される可能性があります。 

CVE-2022-34169は、 Apache Xalan Java XSLT ライブラリにおける Integer truncation (整数切り捨て) の問題です。これを利用すると、内蔵の XSLTC コンパイラで生成された Java クラスファイルを破損させ、任意の Java バイトコードを実行させることが可能です。

Redis のヒープオーバーフロー

Redisはしばしばデータ構造サーバーと呼ばれます。これはどういうことかというと、Redisは一連のコマンドを介して、変更可能なデータ構造にアクセスすることができます。コマンドはTCPソケットとシンプルなプロトコルを使ったサーバ・クライアントモデルで送信されます。そのため、異なるプロセスでも同じデータ構造を共有の方法で問い合わせたり変更したりすることができます。

特別に細工されたコマンドによる境界外書き込みによって，ヒープオーバーフローの状態が発生し，リモートでコードが実行される可能性があります。 XAUTOCLAIMコマンドを使用した境界外書き込みによって引き起こされ、リモートでコードが実行される可能性があります。CVE-2022-31144は、Redis のバージョン 7.0.0 以降に影響します。この問題は、Redis バージョン 7.0.4 で修正されています。

Drupal Core - 任意のPHPコード実行の脆弱性

Drupal は、4 種類の脆弱性を記述したアドバイザリを公開しました。そのうちの1つは "重要"、他の3つは "中程度に重要 "と評価されています。 CVE-2022-25277として追跡されている「クリティカル」な脆弱性は、Drupal 9.3および9.4に影響します。この問題は、Drupal のコアに影響を与え、特別に細工されたファイルをアップロードすることで、Apache ウェブサーバー上で任意の PHP コード実行につながる可能性があります。

Drupalによると、残りの3つは中程度の重要度だそうです。

CVE-2022-25276は、Media oEmbed iframe route が iframe domain の設定を適切に検証しないため、クロスサイトスクリプティングやクッキーの漏洩などの脆弱性が発生する可能性があります。

特定の状況下で、Drupalコアのフォーム API はフォーム要素へのアクセスを不正に評価します。CVE-2022-25278により、アクセスすべきでないデータを変更できてしまう可能性があります。

CVE-2022-25275は、Image モジュールが、image スタイルシステムを使用して派生画像を生成する際に、標準の public files ディレクトリに保存されていない画像ファイルへのアクセスを正しくチェックしない場合に発生する問題です。

Drupal9.4.3へのアップグレードまたは 9.3.19にアップグレードし、これらの脆弱性に対するパッチを適用してください。注：9.3.x以前のすべてのDrupal 9のバージョンは生産終了しており、セキュリティの適用を受けません。またDrupal 8は生産終了しています。Drupal 7 coreは影響を受けません。