在 Drupal（功能齐全的内容管理框架）中发现了两个漏洞。通用漏洞和暴露计划识别以下问题：

- CVE-2014-9015 Aaron Averill 发现特别构建的请求可为用户提供对另一个用户的会话的访问权限，允许攻击者劫持随机会话。

- CVE-2014-9016 Michael Cullum、Javier Nieto 和 Andres Rojas Guerrero 发现密码哈希 API 允许攻击者发送特别构建的请求，导致 CPU 和内存耗尽。这可导致站点不可用或没有响应（拒绝服务）。

需要对自定义配置的 session.inc 和 password.inc 进行审计，并验证它们是否容易受这些漏洞影响。可在上游公告中找到更多详细信息：

远程 Web 服务器正在运行 Drupal 的版本是低于 6.34 的 6.x 或低于 7.34 的 7.x。因此，它可能会受到以下漏洞的影响：

- 存在处理特别构建的请求时触发的不明缺陷，可允许远程攻击者执行会话劫持攻击。
 (CVE-2014-9015)

- 密码哈希 API 中存在处理特别构建的请求时触发的缺陷。攻击者可利用此缺陷消耗资源和造成拒绝服务。此问题仅在低于 7.34 的 Drupal 版本中存在。(CVE-2014-9016)

请注意，Nessus 并未测试这些问题，而是只依赖于应用程序自我报告的版本号。

更新后的 drupal 程序包修复了安全漏洞：

在低于 7.27 的 Drupal 中发现一个信息泄露漏洞。当为匿名用户缓存页面时，匿名用户之间可能存在表单状态泄漏。因此，为某个匿名用户记录的敏感或隐私信息可能泄露给在同一时间与同一表单进行交互的其他用户 (CVE-2014-2983)。

低于 7.29 的 Drupal 中的多个安全问题（包括拒绝服务问题）、File 模块中的访问绕过问题以及多个跨站脚本问题（CVE-2014-5019、CVE-2014-5020、CVE-2014-5021、CVE-2014-5022）。

由于可公开访问的 XML-RPC 端点中的 XML 实体扩展，低于 7.31 的 Drupal 中存在拒绝服务问题。

由于 Drupal 核心处理预备语句的方式，低于 7.32 的 Drupal 中存在 SQL 注入问题。恶意用户可注入任意 SQL 查询，从而完全控制 Drupal 站点。
远程攻击者可利用此漏洞而无需任何认证 (CVE-2014-3704)。

Aaron Averill 发现特别构建的请求可为用户提供对另一个用户的会话的访问权限，允许攻击者劫持随机会话 (CVE-2014-9015)。

Michael Cullum、Javier Nieto 和 Andres Rojas Guerrero 发现密码哈希 API 允许攻击者发送特别构建的请求，导致 CPU 和内存耗尽。这可导致站点不可用或没有响应（拒绝服务）(CVE-2014-9016)。匿名用户 (CVE-2014-9016)。

在某些情况下可伪造密码重置 URL，允许攻击者在不了解帐户密码的情况下获取另一个用户帐户的访问权限 (CVE-2015-2559)。

在某些情况下，恶意用户可构建 URL，诱骗用户重定向到第 3 方网站，从而将该用户暴露给潜在的社交工程攻击。此外，Drupal 6 和 7 中某些与 URL 相关的 API 函数可受到诱骗，从而处理非预期的外部 URL，可能导致额外的开放重定向漏洞（CVE-2015-2749、CVE-2015-2750）。

drupal 程序包已更新至版本 7.35，修复了此问题和其他缺陷。请参阅上游公告和发行说明以了解详细信息。

Drupal 7.34，2014-11-19

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 7.34 之前的 Drupal 7.x ] 中的密码哈希 API 和 Drupal 6.x-2.1 之前版本的安全密码哈希又称为 phpass模块 6.x-2.x允许远程攻击者造成拒绝服务CPU 和内存消耗）通过构建的请求。 (CVE-2014-9016)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
79362	Debian DSA-3075-1：drupal7 - 安全更新	Nessus	Debian Local Security Checks	2014/11/21	2021/1/11	medium
79386	Drupal 6.x < 6.34 / 7.x < 7.34 多种漏洞	Nessus	CGI abuses	2014/11/21	2022/4/11	medium
82456	Mandriva Linux 安全公告：drupal (MDVSA-2015:181)	Nessus	Mandriva Local Security Checks	2015/3/31	2021/1/14	high
79677	Fedora 19：drupal7-7.34-1.fc19 (2014-15522)	Nessus	Fedora Local Security Checks	2014/12/3	2021/1/11	medium
79679	Fedora 20：drupal7-7.34-1.fc20 (2014-15528)	Nessus	Fedora Local Security Checks	2014/12/3	2021/1/11	medium
244970	Linux Distros 未修补的漏洞：CVE-2014-9016	Nessus	Misc.	2025/8/7	2025/8/7	high
79775	Fedora 21：drupal7-7.34-1.fc21 (2014-15583)	Nessus	Fedora Local Security Checks	2014/12/7	2021/1/11	medium

检测

插件搜索

medium

medium

high

medium

medium

high

medium