Apache Struts 2 において Struts 1 由来のプラグインでの値検証不備により任意のコードが実行可能となる脆弱性(Scan Tech Report) | ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]
2019.08.26(月)

Apache Struts 2 において Struts 1 由来のプラグインでの値検証不備により任意のコードが実行可能となる脆弱性(Scan Tech Report)

Apache Struts のバージョン 2 系に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
◆概要

Apache Struts のバージョン 2 系に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。脆弱なバージョンの Struts を用いており、脆弱なコーディングでアプリケーションを作成している場合は、当該脆弱性の影響を受けます。ソフトウェアのアップグレードや、アプリケーションのコーディングを見直すことにより、脆弱性に対策してください。

----------------------------------------------------------------------

◆分析者コメント

当該脆弱性は任意のコードが実行可能となるものですが、対象となる Struts アプリケーションの実装による問題が大きい脆弱性であるため、S2-046 などに比べると社会的な影響度合いは高くないと考えられます。ソフトウェアをStruts 2.5.x 系にアップグレードして対策することが望ましいですが、コーディングでも脆弱性に対策することが可能であるため、日頃の Strtus によるアプリケーション開発の際に、当該脆弱性対策のコーディング手法をセキュアコーディングの手法の一つとして留意することを推奨します。また、不要なサンプルアプリケーションを削除することで、セキュリティを強化することを推奨します。

----------------------------------------------------------------------
◆深刻度(CVSS)
[CVSS v2]
7.5
https://nvd.nist.gov/vuln-metrics/cvss/v2-calculator?name=CVE-2017-9791&vector=(AV:N/AC:L/Au:N/C:P/I:P/A:P)

[CVSS v3]
9.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2017-9791&vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

----------------------------------------------------------------------

◆影響を受けるソフトウェア

Struts 2.3.x 系が当該脆弱性の影響を受けると報告されていますが、検証を実施した結果、Struts 2.2.x 系でも脆弱性の影響を受けることを確認しています。OGNL 式により任意のコマンドを実行しているため Struts 2.x 系が当該脆弱性の影響を受けると考えられますが、どのバージョンまで当該脆弱性の影響を受けるかは報告されていません。

----------------------------------------------------------------------

◆解説

Apache 財団が公開している Web アプリケーション開発のフレームワークである Struts に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。

《株式会社ラック サイバー・グリッド研究所》

関連記事

PageTop

特集

アクセスランキング

  1. 米裁判所が異例の常識的判断、Wannacry 仕留めた後 FBI に逮捕された英国人技術者を無罪放免(The Register)

    米裁判所が異例の常識的判断、Wannacry 仕留めた後 FBI に逮捕された英国人技術者を無罪放免(The Register)

  2. 「Webmin」の脆弱性を標的としたアクセスが増加(警察庁)

    「Webmin」の脆弱性を標的としたアクセスが増加(警察庁)

  3. DevOpsにはセキュリティ部門の関与が重要と認識するも実態は遠く(トレンドマイクロ)

    DevOpsにはセキュリティ部門の関与が重要と認識するも実態は遠く(トレンドマイクロ)

  4. 権威DNSサーバ「NSD」にゾーンパーサがクラッシュする脆弱性(JPRS)

    権威DNSサーバ「NSD」にゾーンパーサがクラッシュする脆弱性(JPRS)

  5. 会員向けスマホアプリにパスワード型リスト攻撃、16,756件が閲覧された可能性(三井住友カード)

    会員向けスマホアプリにパスワード型リスト攻撃、16,756件が閲覧された可能性(三井住友カード)

  6. 近畿地方整備局の保守業務事業者へ標的型メール攻撃、設備資料6件が流出可能性(国土交通省)

    近畿地方整備局の保守業務事業者へ標的型メール攻撃、設備資料6件が流出可能性(国土交通省)

  7. 新潟へぎそば通販サイトへ不正アクセス、2015年12月以降のカード決済情報流出(小嶋屋総本店)

    新潟へぎそば通販サイトへ不正アクセス、2015年12月以降のカード決済情報流出(小嶋屋総本店)

  8. 帰宅途中で会議書類一時紛失、対策として書類のペーパーレス化徹底も(大阪市)

    帰宅途中で会議書類一時紛失、対策として書類のペーパーレス化徹底も(大阪市)

  9. 3,411件患者個人情報流出、データ匿名化するも運用の繁雑さから形骸化(横浜市立大学)

    3,411件患者個人情報流出、データ匿名化するも運用の繁雑さから形骸化(横浜市立大学)

  10. 「セキュリティはチームスポーツ」CrowdStrike Services、Mark Goudie 氏インタビュー

    「セキュリティはチームスポーツ」CrowdStrike Services、Mark Goudie 氏インタビューPR

ランキングをもっと見る