「Apache Struts 2」にJavaコード実行の脆弱性、すでに攻撃コード公開(JVN)
IPAおよびJPCERT/CCは、「Apache Struts」に任意のJava(OGNL)コードが実行される脆弱性が存在すると「JVN」で発表した。
脆弱性と脅威
セキュリティホール・脆弱性
「Apache Struts 2.3.30 およびそれ以前」「Apache Struts 2.5.1 およびそれ以前」には、devMode(Development Mode)を有効にした状態で運用している場合、任意のJava(OGNL)コードを実行される脆弱性が存在する。Apache Struts 2.3.31 および Apache Struts 2.5.2 以降は、本脆弱性の影響を受けない。なお、devModeを有効にした環境を攻撃する proof-of-concept コードが公開されている。JVNでは、最新版へアップデートするよう呼びかけている。
《吉澤 亨史( Kouji Yoshizawa )》