脆弱性検証 ~ Apache Struts 2 に存在する任意のディレクトリへ任意のファイルアップロードが行われリモートコード実行が行われる可能性 | ScanNetSecurity
2025.10.04(土)

脆弱性検証 ~ Apache Struts 2 に存在する任意のディレクトリへ任意のファイルアップロードが行われリモートコード実行が行われる可能性

株式会社NTTデータ先端技術は1月21日、「Apache Struts 2に存在する任意のディレクトリへ任意のファイルアップロードが行われリモートコード実行が行われる可能性がある脆弱性(CVE-2024-53677)」についての検証記事を発表した。

脆弱性と脅威 セキュリティホール・脆弱性
本脆弱性を悪用した攻撃の例
本脆弱性を悪用した攻撃の例 全 1 枚 拡大写真

 株式会社NTTデータ先端技術は1月21日、2024年12月11日にShinsaku Nomura氏が報告した「Apache Struts 2に存在する任意のディレクトリへ任意のファイルアップロードが行われリモートコード実行が行われる可能性がある脆弱性(CVE-2024-53677)」についての検証記事を発表した。

 Apache Software Foundationが提供するWebアプリケーションを開発するためのフレームワーク Apache Struts 2 には、ファイルアップロードの処理を行うためのコンポーネントとしてデフォルトで存在するFile Upload Interceptorを使用している場合にパストラバーサルが可能となる脆弱性が存在し、悪意のあるファイルがアップロードされた場合は、リモートから任意のコードを実行できる可能性がある。なお、File Upload Interceptorを利用していないWebアプリケーションでは、本脆弱性の影響を受けない。

 Apache Software Foundation では、CVSSv4スコアは9.5、SeverityはCriticalと評価している。概念実証(PoC)コードも公開されており、攻撃の観測も報告されていることから、今後の被害拡大が懸念されるという。

 同社では、擬似被害者の環境として、脆弱性が存在するApache Strutsによって実装したFile Upload Interceptorを含むWebアプリケーションをApache Tomcatサーバ上で起動し、擬似攻撃者から不正なHTTPリクエストを送信し、Webシェルを配置することで任意のコード実行を試み、本脆弱性の悪用が可能であることを確認している。

 同社では、本脆弱性に対する対策として下記を紹介している。

・現在推奨されている対策
Apache Struts 2本体をApache Struts 6.4.0以降のバージョンへアップデート
File Upload Interceptorの使用を止めてAction File Upload Interceptorへ切り替える

・不正アクセス監視機器による対策
対象のWebアプリケーションの即時のアップデートが困難な場合、IPSやWAFなどの装置で攻撃通信を遮断する緩和策が可能だが、シグネチャの検知条件に合致しない攻撃が発生した場合は適切に攻撃を検知・遮断出来ない可能性がある。

《ScanNetSecurity》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. 業務目的外でパソコンを利用中に詐欺サイトに接続 ~ 委託事業者パソナの従業員

    業務目的外でパソコンを利用中に詐欺サイトに接続 ~ 委託事業者パソナの従業員

  2. ガートナー、2025 年版の日本におけるセキュリティのハイプ・サイクル発表

    ガートナー、2025 年版の日本におけるセキュリティのハイプ・サイクル発表

  3. 諭旨解雇処分 ~ 電気通信大学 准教授 共同研究先の企業に秘密を漏えい

    諭旨解雇処分 ~ 電気通信大学 准教授 共同研究先の企業に秘密を漏えい

  4. Microsoft が土壇場で譲歩 欧州 Windows 10 ユーザーだけに猶予措置

    Microsoft が土壇場で譲歩 欧州 Windows 10 ユーザーだけに猶予措置

  5. パソナの派遣社員が独立行政法人に関する情報を不正に持ち出し、削除の要請にも応じず

    パソナの派遣社員が独立行政法人に関する情報を不正に持ち出し、削除の要請にも応じず

ランキングをもっと見る
PageTop