Trusted Design

CVE-2018-7602 の詳細

CVEの情報

説明:
A remote code execution vulnerability exists within multiple subsystems of Drupal 7.x and 8.x. This potentially allows attackers to exploit multiple attack vectors on a Drupal site, which could result in the site being compromised. This vulnerability is related to Drupal core - Highly critical - Remote Code Execution - SA-CORE-2018-002. Both SA-CORE-2018-002 and this vulnerability are being exploited in the wild.

CVE更新日: 2018-07-19 17:29:00.373000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-04-13

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.991720000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2018-7602について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2018-7602は、オープンソースのコンテンツ管理システム（CMS）であるDrupalのコアに存在するリモートコード実行（RCE）の脆弱性です。これは、以前に報告されたCVE-2018-7600（Drupalgeddon 2としても知られる）の修正が不完全であったため、そのパッチを回避して悪用できる新たな脆弱性として公開されました。攻撃者はこの脆弱性を悪用することで、Drupalサイトに対して複数の攻撃ベクトルを利用し、リモートから任意のコードを実行することが可能となります。

1.1 影響

この脆弱性が悪用された場合、遠隔の第三者によってサーバー上で任意のコードが実行される可能性があります。これにより、Drupalサイトが完全に侵害される事態に至り、システムデータの改変、データ漏洩、データの完全性破壊、サーバーの乗っ取りといった重大な被害が発生する可能性があります。実際に、この脆弱性を悪用して仮想通貨マイニングマルウェアを配布する攻撃が確認されています。

1.2 深刻度

この脆弱性は「Highly critical（非常に重大）」と評価されています。公開されているエクスプロイトコードの利用コストが非常に低いため、悪用のリスクが高いとされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はDrupalのコアソフトウェアに存在するため、特定のOSバージョンが直接的に影響を受けるわけではありません。基盤となるOSのバージョンは直接関係ないとされています。

2.2 影響を受ける設定

以下のDrupalのバージョンが本脆弱性の影響を受けます。

  • Drupal 7.x系のバージョン (7.59より前のバージョン)
  • Drupal 8.4.x系のバージョン (8.4.8より前のバージョン)
  • Drupal 8.5.x系のバージョン (8.5.3より前のバージョン)

本脆弱性は、Drupalの複数のサブシステムにおけるコード生成の不適切な制御（コードインジェクション）に関連しています。特に、URL処理におけるdestinationパラメータの値検証不備や、DrupalのフォームAPIにおけるAJAXリクエスト処理機構での不適切な処理が原因であり、入力サニタイズ（無害化）関数を迂回できる点が指摘されています。

3. 影響を受けた時の兆候

システムが侵害された場合、以下のような兆候が現れる可能性があります。

  • 意図しないコードがサーバー上で実行される。
  • システムデータが改変される。
  • 仮想通貨マイニングマルウェアが展開され、サーバーのリソース（CPUなど）が高負荷になる。
  • Webサイトのコンテンツや設定に予期せぬ変更がある（例: コンテンツの修正または削除権限の昇格）。
  • 通常のWebサイトの動作とは異なる不審な挙動やネットワークトラフィックの増加。

4. 推奨対策

4.1 本対策

以下の修正済みバージョンにDrupalコアをアップデートすることが、最も推奨される恒久的な対策です。

  • Drupal 7.59 以降にアップデート。
  • Drupal 8.4.8 以降にアップデート。ただし、Drupal 8.4.x系はすでにサポートが終了しているため、可能な限り8.5.x系の最新版へのアップデートを強く推奨します。
  • Drupal 8.5.3 以降にアップデート。

アップデートを実施する際は、十分にテストを実施した上で適用してください。

4.2 暫定回避策（緩和策）

  • サポート対象外のバージョンへの対応: サポートが終了しているDrupal 8.4.x系に対しても、一時的な回避策として修正されたバージョンが提供されていますが、早期にサポート対象バージョンへのアップデートを検討することが重要です。
  • Webアプリケーションファイアウォール (WAF) の利用: 直ちにアップデートができない場合や、多層防御の一環として、WAFを導入することで、本脆弱性を悪用する攻撃を検知・遮断し、被害を軽減できる可能性があります。

その他解説すべき観点

  • 関連する脆弱性: 本脆弱性（CVE-2018-7602）は、2018年3月に公開された「Drupalgeddon 2」ことCVE-2018-7600の修正が不完全であったために発生したものです。
  • 攻撃の確認状況: 公開直後から、この脆弱性を悪用する攻撃が実際に確認されています。このため、迅速な対応が不可欠です。
  • 攻撃のメカニズム: 攻撃は、通常2つのPOSTリクエストを送信することで実行されます。最初のリクエストで悪意のあるパラメータをform_build_idに格納し、2番目のリクエストでそれを呼び出して実行することで、入力検証メカニズムを迂回します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る