- Advisory ID: DRUPAL-SA-CONTRIB-2010-065     (http://drupal.org/node/829566) * Project: Content     Construction Kit (CCK) (third-party module) * Version:
    5.x, 6.x * Date: 2010-June-16 * Security risk: Less     Critical * Exploitable from: Remote * Vulnerability:
    Access Bypass -------- DESCRIPTION
    --------------------------------------------------------
    - The Content Construction Kit (CCK) project is a set of     modules that allows you to add custom fields to nodes     using a web browser. The CCK 'Node Reference' module can     be configured to display referenced nodes as hidden,     title, teaser or full view. Node access was not checked     when displaying these which could expose view access on     controlled nodes to unprivileged users. In addition,     Node Reference provides a backend URL that is used for     asynchronous requests by the 'autocomplete' widget to     locate nodes the user can reference. This was not     checking that the user had field level access to the     source field, allowing direct queries to the backend URL     to return node titles and IDs which the user would     otherwise be unable to access. Note that as Drupal 5 CCK     does not have any field access control functionality,     this issue only applies to the Drupal 6 version.
    -------- VERSIONS AFFECTED
    --------------------------------------------------- *     Content Construction Kit (CCK) module for Drupal 5.x     versions prior to 5.x-1.11 * Content Construction Kit     (CCK) module for Drupal 6.x versions prior to 6.x-2.7     Drupal core is not affected. If you do not use the     contributed Content Construction Kit (CCK) [1] module,     together with any node or field access module there is     nothing you need to do. -------- SOLUTION
    --------------------------------------------------------
    ---- Install the latest version: * If you use the     Content Construction Kit (CCK) module for Drupal 5.x     upgrade to Content Construction Kit (CCK) 5.x-1.11 [2] *     If you use the Content Construction Kit (CCK) module for     Drupal 6.x upgrade to Content Construction Kit (CCK)     6.x-2.7 [3] See also the Content Construction Kit (CCK)     project page [4]. -------- REPORTED BY
    --------------------------------------------------------
    - * recrit [5] * Marc Ferran (markus_petrux) [6], module     co-maintainer -------- FIXED BY
    --------------------------------------------------------
    ---- * Yves Chedemois (yched) [7], module co-maintainer
    * Marc Ferran (markus_petrux) [8], module co-maintainer
    * Karen Stevenson (KarenS) [9], module co- maintainer
    -------- CONTACT
    --------------------------------------------------------
    ----- The Drupal security team [10] can be reached at     security at drupal.org or via the form at     http://drupal.org/contact. * [1]     http://drupal.org/project/cck * [2]     http://drupal.org/node/828986 * [3]     http://drupal.org/node/828988 * [4]     http://drupal.org/project/cck * [5]     http://drupal.org/user/452914 * [6]     http://drupal.org/user/39593 * [7]     http://drupal.org/user/39567 * [8]     http://drupal.org/user/39593 * [9]     http://drupal.org/user/45874 * [10]     http://drupal.org/security-team

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

- アドバイザリ ID：DRUPAL-SA-CONTRIB-2010-065 （http://drupal.org/node/829566） * プロジェクト：Content Construction Kit（CCK）（サードパーティモジュール） * バージョン：
5.x、6.x * 日付：2010 年 6 月 16 日 * セキュリティリスク：重大性低 * 悪用可能元：リモート * 脆弱性：
アクセスバイパス -------- 説明
  -------------------------------------------------------- - 
 Content Construction Kit（CCK）プロジェクトはモジュールのセットであり、Web ブラウザを使用してカスタムフィールドをノードに追加できます。CCK「Node Reference」モジュールを設定して、参照されているノードを非表示、タイトル、ティーザー、あるいはフルビューとして表示することができます。ノードへのアクセスが、これらを表示する際にチェックされないので、管理されているノードのビューアクセスが権限のないユーザーに露出することがあります。さらに、ノード参照は、ユーザーが参照できるノードを差が探すための「autocomplete」ウィジェットによって要求される非同期リクエストで使用されるバックエンドの URL を提供します。これは、ユーザーにソースフィールドへのフィールドレベルのアクセスがあるかチェックしないので、バックエンド URL への直接の照会が可能になり、他の方法ではユーザーがアクセスできないノードのタイトルおよび ID が返されます。注意：Drupal 5 CCK にはフィールドアクセスコントロール機能がないので、この問題は Drupal 6 バージョンだけに当てはまります。
 -------- 影響を受けるバージョン
 --------------------------------------------------- * 5.x-1.11 以前の Drupal 5.x バージョンの Content Construction Kit（CCK）モジュール * 6.x-2.7 以前の Drupal 6.x バージョンの Content Construction Kit（CCK）モジュール Drupal コアは影響を受けません。提供された Content Construction Kit（CCK）[1] モジュールを、何らかのノードまたはフィールドアクセスモジュールとともに使用しない場合は、必要な作業はありません。 -------- ソリューション
 -------------------------------------------------------- ----
最新バージョンをインストールしてください：* Drupal 5.x 用の Content Construction Kit（CCK）モジュールを使用する場合は、Content Construction Kit（CCK）5.x-1.11 [2] にアップグレードしてください * Drupal 6.x 用の Content Construction Kit（CCK）モジュールを使用する場合は、Content Construction Kit（CCK）6.x-2.7 [3] にアップグレードしてください Content Construction Kit（CCK）プロジェクトページ [4] も参照してください。-------- 報告者 --------------------------------------------------------
 - * recrit [5] * Marc Ferran 氏（markus_petrux）[6]、モジュール共同メンテナンス者 -------- 修正者
 --------------------------------------------------------
 ---- * Yves Chedemois 氏（yched）[7]、モジュール共同メンテナンス者
 * Marc Ferran 氏（markus_petrux）[8]、モジュール共同メンテナンス者
 * Karen Stevenson 氏（KarenS）[9]、モジュール共同メンテナンス者
 -------- 連絡先
 --------------------------------------------------------
 ----- drupal.org のセキュリティまたは http://drupal.org/contact のフォームを経由して、Drupal セキュリティチーム [10] へ連絡してください。* [1] http://drupal.org/project/cck * [2] http://drupal.org/node/828986 * [3] http://drupal.org/node/828988 * [4] http://drupal.org/project/cck * [5] http://drupal.org/user/452914 * [6] http://drupal.org/user/39593 * [7] http://drupal.org/user/39567 * [8] http://drupal.org/user/39593 * [9] http://drupal.org/user/45874 * [10] http://drupal.org/security-team

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
47212	Fedora 12 : drupal-cck-6.x.2.7-1.fc12 (2010-10176)	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
47212	Fedora 12：drupal-cck-6.x.2.7-1.fc12（2010-10176）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
47211	Fedora 11 : drupal-cck-6.x.2.7-1.fc11 (2010-10127)	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
47214	Fedora 13 : drupal-cck-6.x.2.7-1.fc13 (2010-10200)	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
47211	Fedora 11：drupal-cck-6.x.2.7-1.fc11（2010-10127）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium
47214	Fedora 13：drupal-cck-6.x.2.7-1.fc13（2010-10200）	Nessus	Fedora Local Security Checks	2010/7/1	2021/1/11	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium