It was discovered that there was a vulnerability existed in the user module in drupal7, a content management framework.

If some specific contributed or custom code triggers a rebuild of the user profile form, a registered user can be granted all user roles on the site. This would typically result in the user gaining administrative access.

For Debian 7 'Wheezy', this issue has been fixed in drupal7 version 7.14-2+deb7u14.

We recommend that you upgrade your drupal7 packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The version of Drupal running on the remote web server is 7.x prior to 7.44 or 8.x prior to 8.1.3. It is, therefore, affected by the following vulnerabilities :

  - A flaw exists in the Views module that allows an     unauthenticated, remote attacker to bypass restrictions     and disclose the number of hits collected by the     Statistics module.

  - A flaw exists in the User module due to incorrectly     granting the 'all user' role when saving user accounts.
    An authenticated, remote attacker can exploit this to     gain elevated privileges.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

A privilege escalation vulnerability has been found in the User module of the Drupal content management framework. For additional information, please refer to the upstream advisory at https://www.drupal.org/SA-CORE-2016-002.

Drupal Security Team reports :

- Saving user accounts can sometimes grant the user all roles (User module - Drupal 7 - Moderately Critical)

- Views can allow unauthorized users to see Statistics information (Views module - Drupal 8 - Less Critical)

リモート Web サーバーで実行している Drupal のバージョンは、7.44 より前の 7.x か、8.1.3 より前の 8.x です。したがって、次の脆弱性の影響を受けます：

- Views モジュールに、認証されていないリモートの攻撃者が、制限をバイパスし、Statistics モジュールによって収集されたヒットの数を漏洩させることを可能にする欠陥が存在します。（VulnDB 140142）

- User モジュールに、ユーザーアカウントの保存時に「すべてのユーザー」ロールの付与が誤っていることによる欠陥が存在します。
 認証されているリモートの攻撃者がこれを悪用して、昇格された権限を取得する可能性があります。（VulnDB 140143）

Nessus はこれらの問題に対してテストされていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。

遠端 Web 伺服器上執行的 Drupal 版本是 7.44 之前的 7.x 版或 8.1.3 之前的 8.x 版。因此受到以下弱點影響：

- Views 模組中存在一個瑕疵，允許未經驗證的遠端攻擊者繞過限制，且洩漏統計資料模組收集的造訪人次。(VulnDB 140142)

- 使用者模組中存在一個瑕疵，這是因為儲存使用者帳戶時，未正確授予「所有使用者」角色所導致。
 經驗證的遠端攻擊者可惡意利用此瑕疵來取得提升的權限。(VulnDB 140143)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

コンテンツ管理フレームワークである drupal7 のユーザーモジュールに脆弱性が存在することが判明しました。

一部の特定の貢献コードまたはカスタムコードがユーザープロファイルフォームのリビルドを誘発する場合、登録済みユーザーはサイトのすべてのユーザーロールが許可される可能性があります。これにより、一般にユーザーが管理アクセス権を取得することが可能です。

Debian 7「Wheezy」では、この問題は drupal7 バージョン 7.14-2+deb7u14 で修正されました。

drupal7 パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Drupal 安全团队报告：

- 保存用户帐户有时可授予用户所有角色（用户模块 - Drupal 7 - 中危）

- 视图可允许未经授权的用户查看统计数据信息（视图模块 - Drupal 8 - 轻度危急）

據發現，drupal7 (一種內容管理架構) 的使用者模組中存在一個弱點。

若某個提供或自訂的程式碼觸發了使用者設定檔表單重建，已註冊的使用者就可獲得網站上的所有使用者角色。這通常會導致使用者取得管理存取權。

針對 Debian 7「Wheezy」，此問題已於 drupal7 的 7.14-2+deb7u14 版本中修正。

我們建議您升級 drupal7 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Drupal コンテンツ管理フレームワークの User モジュールで権限昇格の脆弱性が見つかりました。詳細については、https://www.drupal.org/SA-CORE-2016-002 の Upstream アドバイザリを参照してください。

Drupal セキュリティチームによる報告：

ユーザーアカウントを保存すると、時にはそのユーザーにすべてのロールが許可される可能性があります（ユーザーモジュール - Drupal 7 -重要度中）

- Views により、認証されていないユーザーが統計情報を表示することが可能です（Views モジュール - Drupal 8 - 重要度低）

在 Drupal 內容管理架構的 User 模組中發現一個權限提升弱點。如需其他資訊，請參閱上游公告：https://www.drupal.org/SA-CORE-2016-002。

远程 Web 服务器上运行的 Drupal 版本为低于 7.44 的 7.x 或低于 8.1.3 的 8.x 。因此，它受到以下漏洞的影响：

- 视图模块中存在一个缺陷，允许未经认证的远程攻击者绕过限制，并泄露统计数据模块收集的点击次数。(VulnDB 140142)

- 用户模块中存在一个缺陷，原因在于保存用户帐户时，未正确授予“所有用户”角色。
 经认证的远程攻击者可利用此问题获得提升的权限。(VulnDB 140143)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

Drupal 安全性團隊報告：

- 儲存使用者帳戶有時可提供使用者所有角色 (使用者模組 - Drupal 7 - 重要性中等)

- 檢視可允許未經授權的使用者查看統計資料資訊 (檢視模組 - Drupal 8 - 較不重要)

发现 drupal7（一种内容管理框架）的用户模块中存在一个漏洞。

若某个具体提供或自定义的代码触发了用户配置文件窗体的重建，则已注册的用户可以获得网站上的所有用户角色。这通常会使用户获取管理权限。

针对 Debian 7“Wheezy”，此问题已于 drupal7 的 7.14-2+deb7u14 版本中修复。

我们建议您升级 drupal7 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

在 Drupal 内容管理框架的 User 模块中发现一个权限升级漏洞。如需其他信息，请参阅上游公告：https://www.drupal.org/SA-CORE-2016-002.

ID	名稱	產品	系列	已發布	已更新	嚴重性
92325	Debian DLA-550-1 : drupal7 security update	Nessus	Debian Local Security Checks	2016/7/18	2021/1/11	high
91781	Drupal 7.x < 7.44 / 8.x < 8.1.3 Multiple Vulnerabilities	Nessus	CGI abuses	2016/6/23	2022/4/11	high
91692	Debian DSA-3604-1 : drupal7 - security update	Nessus	Debian Local Security Checks	2016/6/20	2021/1/11	high
91637	FreeBSD : drupal -- multiple vulnerabilities (7932548e-3427-11e6-8e82-002590263bf5)	Nessus	FreeBSD Local Security Checks	2016/6/17	2021/1/4	high
91781	Drupal 7.x < 7.44 / 8.x < 8.1.3 の複数の脆弱性	Nessus	CGI abuses	2016/6/23	2022/4/11	high
91781	Drupal 7.x < 7.44 / 8.x < 8.1.3 多個弱點	Nessus	CGI abuses	2016/6/23	2022/4/11	high
92325	Debian DLA-550-1：drupal7 のセキュリティ更新	Nessus	Debian Local Security Checks	2016/7/18	2021/1/11	high
91637	FreeBSD：drupal -- 多个漏洞 (7932548e-3427-11e6-8e82-002590263bf5)	Nessus	FreeBSD Local Security Checks	2016/6/17	2021/1/4	high
92325	Debian DLA-550-1：drupal7 安全性更新	Nessus	Debian Local Security Checks	2016/7/18	2021/1/11	high
91692	Debian DSA-3604-1：drupal7 - セキュリティ更新	Nessus	Debian Local Security Checks	2016/6/20	2021/1/11	high
91637	FreeBSD：drupal -- 複数の脆弱性（7932548e-3427-11e6-8e82-002590263bf5）	Nessus	FreeBSD Local Security Checks	2016/6/17	2021/1/4	high
91692	Debian DSA-3604-1：drupal7 - 安全性更新	Nessus	Debian Local Security Checks	2016/6/20	2021/1/11	high
91781	Drupal 7.x < 7.44 / 8.x < 8.1.3 多种漏洞	Nessus	CGI abuses	2016/6/23	2022/4/11	high
91637	FreeBSD：drupal -- 多個弱點 (7932548e-3427-11e6-8e82-002590263bf5)	Nessus	FreeBSD Local Security Checks	2016/6/17	2021/1/4	high
92325	Debian DLA-550-1：drupal7 安全更新	Nessus	Debian Local Security Checks	2016/7/18	2021/1/11	high
91692	Debian DSA-3604-1：drupal7 - 安全更新	Nessus	Debian Local Security Checks	2016/6/20	2021/1/11	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high