ドテカン（Drupal 定点観測） Drupal Meetup 羽田 #8（2018/04/20）でのプレゼン Drupal の脆弱性に関して 2018 年 3 ～ 4 月に起きたことと、そのまとめ

1. Drupageddon 2 について
西尾正博
（本資料作成および追補 2018 年 05 月 17 日）
ドテカン（Drupal 定点観測）2018/04/20
Drupal is a registered trademark of Dries Buytaert.

2. 自己紹介
西尾 正博
株式会社アウトソーシングテクノロジー
Drupal & HTML5 推進室 マーケティングプランナー
Drupal 歴 約 10 年。元 Joomla! ユーザー。
2011 年からバイテルト氏のブログ記事を時々、日本語に翻訳・公開。
好きなもの：ポテトサラダ

3. このプレゼンの構成
 主な出来事（2018 年 3月～4月）
 ポイント
 結論
 関連情報

4. 主な出来事（2018 年 3月～4月）
 3/28（日本 3/29）Drupal セキュリティー チーム
Drupal セキュリティー改修バージョン公開（重大性スコア 24/25 = ほぼ最高）
https://www.drupal.org/sa-core-2018-002
 4/12 Check Point Research 社
改修前バージョンへの攻撃手順を公開（協力：Dofinity 社。両社共イスラエル）
「Uncovering Drupalgeddon 2」：
https://research.checkpoint.com/uncovering-drupalgeddon-2/
 4/12 ヴィタリ ルドニク氏（ロシアのセキュリティー研究者）
改修前バージョンに対する攻撃の概念実証コード公開
「Proof-Of-Concept for CVE-2018-7600‘」：
https://github.com/a2u/CVE-2018-7600/blob/master/exploit.py
 上記 2 項目の数時間後から世界各地で攻撃が増大。それに従って報道も増大。
バイテルト氏「Acquia、SA-CORE-2018-002 の攻撃試行を 500,000 件ブロック」：
http://www.webgogo.jp/blog/acquia-blocks-500000-attack-attempts-for-sa-core-2018-002

5. ポイント 1
 セキュリティー チームからの連絡に従って普通にアップデートしていれば被害ゼロ
（筆者勤務先および Drupal 関係者からの情報）。報道を正しく理解することが大事。
 セキュリティーリリースの数と頻度は Drupal が特に多いわけではない
（Drupal としては今年は例年より多めであることは確か）。
出典： CVE Details https://www.cvedetails.com/
Drupal 脆弱性統計 WordPress 脆弱性統計

6. ポイント 2
 Drupal は「感染」する比率が圧倒的に低い。
出典：Sucuri 社「Hacked Website Report 2017」https://sucuri.net/reports/2017-hacked-website-report
感染した Web サイト プラットフォームの分布 – 2017 年版

7. 結論
 普通に管理しているかぎり、Drupal は極めて安全。

8. 関連情報（時系列）
 4/13: ZDNet 記事「Drupalの脆弱性を悪用可能な実証コードが公開、攻撃発生に警戒」
https://japan.zdnet.com/article/35117714/
 4/18:（日本 4/19）Drupal 8 コア セキュリティー改修バージョン公開（重大性スコア 12/25。
CKEditor の脆弱性解消） https://www.drupal.org/sa-core-2018-003
 4/18: 警視庁が注意喚起：「Drupal の脆弱性（CVE-2018-7600）を標的としたアクセスの観測につい
て」(PDF: 220 KB) https://www.npa.go.jp/cyberpolice/detect/pdf/20180418.pdf
 4/19: サイバーセキュリティクラウド社広報：「Drupal 脆弱性を突いた攻撃が急増 脆弱性を悪用する概
念実証（PoC）コード公開翌日に約3万件もの攻撃ログを観測」
https://prtimes.jp/main/html/rd/p/000000079.000009107.html
 4/25（日本 4/26）: Drupal コア セキュリティー改修バージョン公開（重大性スコア 20/25。
3/28 のバージョンと関連した問題を解消） https://www.drupal.org/sa-core-2018-004
 5/2: 三井物産セキュアディレクション (MBSD) Drupal 脆弱性検証レポート(PDF)
https://www.mbsd.jp/Whitepaper/CVE-2018-7600.pdf
 5/8: IT Media「脆弱性放置のDrupalサイト、相次ぎ仮想通貨採掘攻撃の被害に」
http://www.itmedia.co.jp/enterprise/articles/1805/08/news057.html

9. 関連情報（英語。時系列）
 3/27: Cambridge Analytica website runs a critically vulnerable version of Drupal
https://drupal.sh/cambridge-analytica-drupal-vulnerable
 4/16: Drupalgeddon 2: Profiting from Mass Exploitation
https://www.volexity.com/blog/2018/04/16/drupalgeddon-2-profiting-from-mass-exploitation/
 4/17: Dries Buytaert: Acquia blocks 500,000 attack attempts for SA-CORE-2018-002
https://dri.es/acquia-blocks-500000-attack-attempts-for-sa-core-2018-002
 4/27: Drupalgeddon Vulnerability: What is it? Are You Impacted?
https://blog.rapid7.com/2018/04/27/drupalgeddon-vulnerability-what-is-it-are-you-impacted/
 5/8: ‘DRUPALGEDDON 2’: CRYPTOJACKING MAKES A RETURN TO PROMINENCE
http://bitcoinist.com/drupalgeddon-2-cryptojacking-makes-a-return-to-prominence/