ホーム
» GitHub Security Advisories
» GHSA-6rmq-x2hv-vxpp
説明
In Drupal Core versions 7.x prior to 7.62, 8.6.x prior to 8.6.6 and 8.5.x prior to 8.5.9; Drupal core uses the third-party PEAR Archive_Tar library. This library has released a security update which impacts some Drupal configurations. Refer to CVE-2018-1000888 for details
基本情報
タイプ
reviewed
深刻度
high GitHub 上のアドバイザリ
アドバイザリを開く ↗ リポジトリのアドバイザリ
—
ソースコード
未指定 公開（アドバイザリ）
2019-12-02 18:11:25 UTC
更新
2024-02-05 15:41:47 UTC
GitHub レビュー済み
2019-12-02 00:34:49 UTC
NVD で公開
2019-01-22
EPSS Score
Score
Percentile
1.05%
77.50%
CVSS Scores
Base score
Version
Severity
Vector
8.0
3.0
—
CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
クリックして展開
攻撃ベクター (AV:N)
インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L)
攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:L)
一般ユーザー権限があれば足り、管理者（root 相当）は不要。
ユーザーの関与 (UI:R)
インストールの許可、設定変更、悪意あるファイルの実行など、人の一度の判断がトリガーになる。
スコープ (S:U)
影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。
機密性への影響 (C:H)
広範な機微データの読み取りや持ち出しが現実的。
完全性への影響 (I:H)
権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。
可用性への影響 (A:H)
長時間のサービス停止、データ損壊による復旧不能に近い状態など、利用者に著しい不便を与えうる。
CWEs
CWE id
Name
CWE-502
Deserialization of Untrusted Data
Affected packages (3)
Vulnerable version ranges and first patched releases as published by GitHub.
Ecosystem
Package
Vulnerable range
First patched
Vulnerable functions
composer
drupal/drupal >= 7.0.0, < 7.62.0
7.62.0
—
composer
drupal/drupal >= 8.0.0, < 8.5.9
8.5.9
—
composer
drupal/drupal >= 8.6.0, < 8.6.6
8.6.6
—
cvelogic
Threat Intelligence