远程iraclelinux 3 主机上存在安装的程序包该程序包受到公告 AXSA:2014-234:01 中提及的多个漏洞的影响。

    Drupal 是一款免费软件包，个人或用户社区可使用它轻松发布、管理和组织网站上的各种内容。数以万计的个人和组织已使用 Drupal 为不同的网站提供支持，包括：
     社区 Web 门户 讨论网站 公司网站 Intranet 应用程序 个人网站或博客 Aficionado 网站 电商应用程序 资源目录 社交网站 此版本修复的安全问题
     CVE-2014-1475 低于 6.x6.30 的 Drupal 和低于 [ 7.x 的 Drupal 7.26 中的 OpenID 模块允许远程 OpenID 用户通过不明矢量认证为其他用户。
     CVE-2013-6385 低于 [] 的 Drupal 和低于 [] 的 Drupal 6.x6.29 和 7.x 之前的 7.24中的表单 API 在与不明的第三方模块一起使用时即使在 CSRF 验证失败时也会执行表单验证这可能允许远程攻击者触发特定于应用程序的影响例如通过特定于应用程序的矢量作为任意代码执行。
     CVE-2013-6386 [ 6.x 之前的 Drupal  6.29 和 7.x 之前的 7.24 使用 PHP mt_rand 函数生成随机数其可使用可预测的种子允许远程攻击者通过蛮力攻击预测安全字符串并绕过预期限制。

Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Web 服务器运行的 Drupal 版本是低于 6.30 的 6.x。因此，它受到 OpenID 模块中的安全绕过漏洞的影响，该漏洞可允许经过认证的攻击者劫持其他用户的帐户。仅影响与一个或多个 OpenID 实体关联的用户帐户。

请注意，Nessus 没有测试此问题，而仅依赖于应用程序自我报告的版本号。

已在 drupal 中识别并修复了多种安全问题：

在低于 6.30 的 Drupal 6.x 和低于 7.26 的 Drupal 7.x 中，OpenID 模块可允许远程 OpenID 用户通过不明的矢量认证为其他用户 (CVE-2014-1475)。

7.26 之前的 Drupal 7.x 中的 Taxonomy 模块在从 Drupal 的早期版本升级时，未正确限制对未发布内容的访问，这可允许经认证的远程用户通过列表页获取敏感信息 (CVE-2014-1476)。

更新后的程序包已升级到 7.26 版，此版本不受这些安全缺陷的影响。

远程 Web 服务器运行的 Drupal 版本是低于 7.26 的 7.x。因此，它可能受到以下安全绕过漏洞的影响：

- 在 OpenID 模块中存在一个问题，允许经过认证的攻击者劫持其他用户的帐户。
 仅影响与一个或多个 OpenID 实体关联的用户帐户。(CVE-2014-1475)

- 在 Taxonomy 模块中存在一个问题，可允许公开查看未发布的潜在敏感内容。只有从 Drupal 6 或更早版本升级而来的 Drupal 7 站点会受到影响。(CVE-2014-1476)

- 在表单 API 的 drupal_form_submit() 函数中存在一个潜在问题，该问题会绕过访问检查。

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

在 Drupal（一个功能齐全的内容管理框架）中发现多种漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2014-1475 Christian Mainka 和 Vladislav Mladenov 报告 OpenID 模块中存在一个漏洞，可允许恶意用户以站点上其他用户（包括管理员）的身份登录和劫持其帐户。

- CVE-2014-1476 Matt Vance 和 Damien Tournoud 报告 taxonomy 模块中存在访问绕过漏洞。在某些情况下，已取消发布的内容可出现在 taxonomy 模块提供的列表页面上，并且本来没有查看权限的用户可以看到。

这些补丁要求进行数据库的额外更新，这些更新可在管理页面进行。而且，此更新还为表单 API 引入了新的安全增强元素。请参阅 drupal.org/SA-CORE-2014-001 上的上游公告以了解更多信息。

Christian Mainka 和 Vladislav Mladenov 报告了全功能内容管理框架 Drupal 的 OpenID 模块中的一个漏洞。恶意用户可利用此缺陷以其他用户（包括管理员）的身份登录站点，并劫持其帐户。

这些补丁要求进行数据库的额外更新，这些更新可在管理页面进行。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
289456	MagicLinux 3drupal-6.30-1.AXS3 (AXSA:2014-234:01)	Nessus	Miracle Linux Local Security Checks	2026/1/16	2026/1/16	high
72102	Drupal 6.x < 6.30 OpenID 模块帐户劫持	Nessus	CGI abuses	2014/1/23	2022/4/11	high
72529	Mandriva Linux 安全公告：drupal (MDVSA-2014:031)	Nessus	Mandriva Local Security Checks	2014/2/16	2021/1/6	high
72103	Drupal 7.x < 7.26 多种漏洞	Nessus	CGI abuses	2014/1/23	2022/4/11	high
72046	Debian DSA-2847-1：drupal7 - 多个漏洞	Nessus	Debian Local Security Checks	2014/1/21	2021/1/11	high
72248	Debian DSA-2851-1：drupal6 - 假冒	Nessus	Debian Local Security Checks	2014/2/3	2021/1/11	high

检测

插件搜索

high

high

high

high

high

high