脆弱性検証 ~ Apache Struts 2 に存在する任意のディレクトリへ任意のファイルアップロードが行われリモートコード実行が行われる可能性 | ScanNetSecurity
2025.10.24(金)

脆弱性検証 ~ Apache Struts 2 に存在する任意のディレクトリへ任意のファイルアップロードが行われリモートコード実行が行われる可能性

株式会社NTTデータ先端技術は1月21日、「Apache Struts 2に存在する任意のディレクトリへ任意のファイルアップロードが行われリモートコード実行が行われる可能性がある脆弱性(CVE-2024-53677)」についての検証記事を発表した。

脆弱性と脅威 セキュリティホール・脆弱性
本脆弱性を悪用した攻撃の例
本脆弱性を悪用した攻撃の例 全 1 枚 拡大写真

 株式会社NTTデータ先端技術は1月21日、2024年12月11日にShinsaku Nomura氏が報告した「Apache Struts 2に存在する任意のディレクトリへ任意のファイルアップロードが行われリモートコード実行が行われる可能性がある脆弱性(CVE-2024-53677)」についての検証記事を発表した。

 Apache Software Foundationが提供するWebアプリケーションを開発するためのフレームワーク Apache Struts 2 には、ファイルアップロードの処理を行うためのコンポーネントとしてデフォルトで存在するFile Upload Interceptorを使用している場合にパストラバーサルが可能となる脆弱性が存在し、悪意のあるファイルがアップロードされた場合は、リモートから任意のコードを実行できる可能性がある。なお、File Upload Interceptorを利用していないWebアプリケーションでは、本脆弱性の影響を受けない。

 Apache Software Foundation では、CVSSv4スコアは9.5、SeverityはCriticalと評価している。概念実証(PoC)コードも公開されており、攻撃の観測も報告されていることから、今後の被害拡大が懸念されるという。

 同社では、擬似被害者の環境として、脆弱性が存在するApache Strutsによって実装したFile Upload Interceptorを含むWebアプリケーションをApache Tomcatサーバ上で起動し、擬似攻撃者から不正なHTTPリクエストを送信し、Webシェルを配置することで任意のコード実行を試み、本脆弱性の悪用が可能であることを確認している。

 同社では、本脆弱性に対する対策として下記を紹介している。

・現在推奨されている対策
Apache Struts 2本体をApache Struts 6.4.0以降のバージョンへアップデート
File Upload Interceptorの使用を止めてAction File Upload Interceptorへ切り替える

・不正アクセス監視機器による対策
対象のWebアプリケーションの即時のアップデートが困難な場合、IPSやWAFなどの装置で攻撃通信を遮断する緩和策が可能だが、シグネチャの検知条件に合致しない攻撃が発生した場合は適切に攻撃を検知・遮断出来ない可能性がある。

《ScanNetSecurity》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 関与していた元社員とは未だ連絡取れず ~ 京都市内で保険申込書写し 計 632 枚拾得

    関与していた元社員とは未だ連絡取れず ~ 京都市内で保険申込書写し 計 632 枚拾得

  2. 「漏えい情報を復号できないため報告を要しない(個人情報保護委員会)」ランサムウェアの前に全データを暗号化するソリューションで保険代理店の顧客情報守られる

    「漏えい情報を復号できないため報告を要しない(個人情報保護委員会)」ランサムウェアの前に全データを暗号化するソリューションで保険代理店の顧客情報守られる

  3. 廃棄委託したノートパソコンが短時間ネット接続 ~ 監視ツールが検知

    廃棄委託したノートパソコンが短時間ネット接続 ~ 監視ツールが検知

  4. アスクル Web サイトがランサムウェア感染、受注出荷業務が停止

    アスクル Web サイトがランサムウェア感染、受注出荷業務が停止

  5. NTT西日本グループ「伴走型セキュリティ対策支援サービス」提供

    NTT西日本グループ「伴走型セキュリティ対策支援サービス」提供

ランキングをもっと見る
PageTop