Apache Struts 2 において REST プラグインでの XML データ処理の不備により遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report) | ScanNetSecurity
2020.11.24(火)

Apache Struts 2 において REST プラグインでの XML データ処理の不備により遠隔から任意のコードが実行可能となる脆弱性(Scan Tech Report)

Apache Struts のバージョン 2 系に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。

脆弱性と脅威 エクスプロイト
◆概要

Apache Struts のバージョン 2 系に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。脆弱なバージョンの Struts でアプリケーションを作成している場合は、当該脆弱性の影響を受けます。ソフトウェアのアップデートにより、脆弱性に対策してください。

◆分析者コメント

当該脆弱性は任意のコードが実行可能となるものです。アプリケーションの設定面での前提条件が必要とはなりますが、REST API を用いたアプリケーションである場合は脆弱性の影響を受ける可能性が高いと考えられます。攻撃者が脆弱性の悪用に成功した場合は、Struts の土台となるサーバの実行権限で、対象ホストへの侵入が可能となる脆弱性であるため、アップデートにより対策することを推奨します。

◆深刻度(CVSS)

[CVSS v2]
なし

[CVSS v3]
8.1
https://access.redhat.com/security/cve/cve-2017-9805

※本記事執筆時点 (2017 年 9 月 14 日) で NVD に情報公開がないため、 Red Hat 社の情報に従っています。

◆影響を受けるソフトウェア

Struts 2.1.2 ~ 2.3.33 および 2.5 ~ 2.5.12 が当該脆弱性の影響を受けると報告されています。

◆解説

Apache 財団が公開している Web アプリケーション開発のフレームワークである Struts に、遠隔から任意のコードが実行可能となる脆弱性が報告されています。

《株式会社ラック デジタルペンテストサービス部》

関連記事

PageTop

特集

アクセスランキング

  1. 「Peatix」に不正アクセス、最大677万件のユーザー情報流出

    「Peatix」に不正アクセス、最大677万件のユーザー情報流出

  2. 保険代理店業務受託会社の顧客管理システムへ不正アクセス

    保険代理店業務受託会社の顧客管理システムへ不正アクセス

  3. 東建コーポレーショングループへの不正アクセスで最大657,096件、約20年分の個人情報が流出

    東建コーポレーショングループへの不正アクセスで最大657,096件、約20年分の個人情報が流出

  4. iPhoneに不審なカレンダーなどが表示される報告が相次ぐ(IPA)

    iPhoneに不審なカレンダーなどが表示される報告が相次ぐ(IPA)

  5. 国家公務員共済組合連合会運営の「虎の門病院」Webサイトに不正アクセス、閲覧不能に

    国家公務員共済組合連合会運営の「虎の門病院」Webサイトに不正アクセス、閲覧不能に

  6. サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

    サイバー犯罪の検挙件数、2019年は9,542件に(警察庁)

  7. 「ふくいナビ」クラウドの全データ消失、NECキャピタルソリューション社内手続ミスが原因

    「ふくいナビ」クラウドの全データ消失、NECキャピタルソリューション社内手続ミスが原因

  8. カプコンへのランサムウェア攻撃で最大35万件の情報流出、「Ragnar Locker」から身代金要求

    カプコンへのランサムウェア攻撃で最大35万件の情報流出、「Ragnar Locker」から身代金要求

  9. Scan BASIC 登録方法

    Scan BASIC 登録方法

  10. MAC アドレス認証 これだけ危険 ~ Wi-Fi セキュリティ対策の誤解

    MAC アドレス認証 これだけ危険 ~ Wi-Fi セキュリティ対策の誤解PR

ランキングをもっと見る