Apache Struts 2のincludeParams属性における入力値の処理に起因する脆弱性（Scan Tech Report）

1.概要
Apache Struts 2に任意のコードが実行可能な脆弱性が報告されました。
Apache Struts 2で構成されたサイトに対し、ユーザが不正なリクエストを送信することで、任意のJavaコードが実行される可能性があります。

この脆弱性を悪用する方法は公開されており、悪用が容易なため、速やかにバージョン2.3.14.2以降にアップデートすることを推奨します。

2.深刻度(CVSS)
現時点（2013/5/31）において、CVE-ID未割り当て

3.影響を受けるソフトウェア ※
Apache Struts 2.0.0 から 2.3.14.1

4.解説
Apache Struts 2の標準タグタグおよびタブで提供されている属性「includeParams」に値としてgetあるいはallを指定している場合、この問題は発生します。この場合、そのままパラメータを全て取得してURLを作成し、さらに受け取ったパラメータをOGNL（Object Graph Navigation Language）として評価してしまいます。このため、攻撃者は不正なパラメータを含むURLリクエストを問題のあるサイトに送信することで、任意のJavaコードを実行可能です。

この脆弱性は任意のコードが実行される脆弱性「CVE-2013-1966」として一度バージョン2.3.14.1にて修正リリースされましたが、脆弱性の修正が不十分であったため、更に修正したバージョン2.3.14.2が公開されています。

5.対策
Apache Struts 2.3.14.2にアップデートすることでこの脆弱性を解消することが可能です。

Apache Struts 2.3.14.2
http://archive.apache.org/dist/struts/binaries/struts-2.3.14.2-all.zip

6.ソースコード
（Web非公開）

（執筆：株式会社ラック　サイバー脅威分析センター）

※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録（有料）下さい。

Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html

Apache Struts 2のincludeParams属性における入力値の処理に起因する脆弱性（Scan Tech Report）

関連記事

Linux Kernel のパフォーマンスイベントの取り扱いに起因する権限昇格の脆弱性（Scan Tech Report）

phpMyAdmin の preg_replace() 関数の不適切な利用に起因する任意コード実行の脆弱性（Scan Tech Report）

IRCD-Hybrid の try_parse_v4_netmask() 関数の実装に起因する DoS の脆弱性（Scan Tech Report）

Microsoft Internet Explorer 8 の CGenericElement オブジェクトの取り扱いに起因する 0-Day エクスプロイト（Scan Tech Report）

特集

関連リンク

アクセスランキング

「いやいや」セキュリティをやっている世の全ての管理者に寄り添う～スリーシェイク手塚卓也の Securify 開発哲学PR

懲戒解雇処分フジテレビ元社員が取材情報や内部情報を競合他社に漏えい

VPN 機器のログから不正アクセスの痕跡～関西総合システムにランサムウェア攻撃

IPA「セキュリティ要件適合評価及びラベリング制度 (JC-STAR) 通信機器 ★３セキュリティ要件」公開

メール誤送信で農林水産省職員及びその家族 4,571 人分のマイナンバー含む情報漏えい