2016.07.26(火)

「Apache ACCライブラリ」に任意のJavaコードを実行される脆弱性(JVN)

脆弱性と脅威 セキュリティホール・脆弱性

独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は11月16日、「Apache Commons Collections(ACC)ライブラリ」のデシリアライズ処理に任意のコードを実行される脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。CVSSによる最大Base Scoreは7.5。なお、現時点では本脆弱性の完全な対策方法は公開されていない。

「ACCライブラリを直接使用しているJavaアプリケーション」「クラスパス指定でアクセスできる範囲にACCライブラリを設置しているJavaアプリケーション」には、デシリアライズ処理が原因で脆弱性が存在する。この脆弱性が悪用されると、任意のJavaコードを実行される可能性がある。JVNでは、ファイアウォールやファイルシステムのアクセス制御を活用すること、アプリケーションの設計を見直すこと、信頼できない相手からのデータをデシリアライズしないことなどのワークアラウンドによって、本脆弱性の影響を軽減できるとしている。
《吉澤 亨史》

編集部おすすめの記事

特集

脆弱性と脅威 アクセスランキング

  1. Ruby on Rails において Render メソッドの実装不備により遠隔から任意のコードが実行されてしまう脆弱性(Scan Tech Report)

    Ruby on Rails において Render メソッドの実装不備により遠隔から任意のコードが実行されてしまう脆弱性(Scan Tech Report)

  2. 政府が「ポケモンGO」に関する注意喚起を発表、9つの注意点を記載(NISC)

    政府が「ポケモンGO」に関する注意喚起を発表、9つの注意点を記載(NISC)

  3. 「Android OS 4.1.2以前」にCRIME攻撃を受ける脆弱性(JVN)

    「Android OS 4.1.2以前」にCRIME攻撃を受ける脆弱性(JVN)

  4. 位置情報連携型ゲームのプレイにおける注意喚起、個人情報の流出や非正規アプリも(NTTドコモ、KDDI、ソフトバンク、TCA)

  5. 「ポケモンGO」の話題性を悪用した攻撃者について警告(トレンドマイクロ)

  6. CGIにおいて環境変数HTTP_PROXYを使用するWebサーバ、Webアプリに脆弱性(JPCERT/CC)

  7. 「Pokemon GO」で身元バレの可能性、個人情報の管理に注意

  8. トロイの木馬型マルウェアが仕込まれたAndroid版「Pokemon GO」に注意喚起(McAfee)

  9. GNU Wget においてファイル名検証不備により任意のファイルがダウンロードさせられてしまう脆弱性

  10. 「Trend Micro Deep Discovery Inspector」に複数の脆弱性(JVN)

アクセスランキングをもっと見る

★~(=^・ω・^)ノ☆★ Scanもアップグレードしませんか?7月末まで Scan PREMIUM が最大 5,000 円割引となるキャンペーンを実施中 ★★
★~(=^・ω・^)ノ☆★ Scanもアップグレードしませんか?7月末まで Scan PREMIUM が最大 5,000 円割引となるキャンペーンを実施中 ★★

登録すれば、記事一覧、人気記事ランキング、BASIC 会員限定記事はもちろんのこと、掲載された全ての限定コンテンツに、フルアクセスが可能となります。

×