Drupal 9.2.x < 9.2.20 / 9.3.x < 9.3.14 Drupal 弱點 (SA-CORE-2022-010)

high Nessus Plugin ID 161505

語系：

概要

遠端 Web 伺服器上執行的 PHP 應用程式受到一個弱點影響。

說明

根據其自我報告的版本號碼，遠端網頁伺服器上執行的 Drupal 執行個體是早於 9.2.20 的 9.2.x 版或早於 9.3.14 的 9.3.x 版。因此，會受到一個弱點影響。

- Guzzle 是一個 PHP HTTP 用戶端。Guzzle 6.5.6 和 7.4.3 之前版本中有一個 cookie 中介軟體弱點。這個弱點出現的原因是，未檢查 cookie 網域是否與透過 Set-Cookie 標頭設定 cookie 的伺服器網域相同，進而允許惡意伺服器為不相關的網域設定 cookie 所致。Cookie 中介軟體預設為停用，因此大多數程式庫使用者不會受到此問題影響。只有手動將 cookie 中介軟體新增至處置程式堆疊或使用 ['cookies' => true] 建構用戶端的使用者會受到影響。此外，不使用相同 Guzzle 用戶端呼叫多個網域且已停用重新導向轉送的使用者則不受此弱點影響。Guzzle 6.5.6 和 7.4.3 版本包含針對此問題的修補程式。可以採取的因應措施是，關閉 Cookie 中介軟體。(CVE-2022-29248)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。