![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.2019021201.png){kind=logo}
Apache Struts 2 の Parameters インターセプタの実装に起因するClassLoader を操作可能な脆弱性（Scan Tech Report）
Apache Struts 2 の Parameters インターセプタには、class パラメータの処理に起因して ClassLoader を不正に操作されてしまう脆弱性が存在します。
脆弱性と脅威
エクスプロイト
Apache Struts 2 の Parameters インターセプタには、class パラメータの処理に起因して ClassLoader を不正に操作されてしまう脆弱性が存在します。
悪意あるリモートの第三者に利用された場合、Apache Struts 2 上で動作するWeb アプリケーションを一時的にサービス不能状態にされる、あるいはシステム上で不正な操作が実行される可能性があります。
外部に公開する Web アプリケーションで Apache Struts 2 を利用する環境では、深刻な影響を受ける可能性があるため、影響を受けるバージョンの Apache Struts 2 を利用するユーザは速やかに以下に記載する対策を実施することを推奨します。
2.深刻度(CVSS)
5.0
http://nvd.nist.gov/cvss.cfm?version=2&name=CVE-2014-0094&vector=%28AV:N/AC:L/AU:N/C:N/I:P/A:N%29
3.影響を受けるソフトウェア
Apache Struts 2.0.0 - 2.3.16
4.解説
Apache Struts は、Apache Software Foundation が提供する Web アプリケーションを構築するためのフレームワークであり、インターセプタと呼ばれる、
Action クラスの前後に処理を挟み込む機能が実装されています。その中の 1 つ、Parameters インターセプタ (ParametersInterceptor)※1 は、リクエストパラメータを制御することを目的としています。
Apache Struts 2 には、この Parameters インターセプタにおいて、class パラメータを適切にチェックせず、直接 getClass() メソッドへ渡してしまう不備があります。
このため、class.classLoader.* を含むリクエストを介して ClassLoader を不正に操作可能な脆弱性が存在します。
この脆弱性を利用することで、リモートの攻撃者は、Apache Struts 2 上で動作する Web アプリケーションを一時的にサービス不能状態する、あるいは Apache Struts 2 を実行するユーザの権限で任意の Java コードが可能となります。
なお、公開されている攻撃手法では、ClassLoader を介して Apache Tomcat のアクセスログの出力先※2、ファイル名およびフォーマットを変更します。
その後、Java コードを含むリクエストを送信し、アクセスログに Java コードを書き込み、アクセスログを参照することによって、送信した Java コードを実行するという手法になります。
※1 http://struts.apache.org/development/2.x/docs/parameters-interceptor.html
※2 出力先は公開ディレクトリ、ファイル名は JSP ファイルに変更します。
5.対策
以下の Web サイトより、Apache Struts 2.3.16.1 以降を入手しアップデートすることで、この脆弱性を解消※3 することが可能です。
Apache Struts 2.3.16.1:
http://struts.apache.org/download.cgi
あるいは、設定ファイル struts-default.xml の excludeparams に ^class\.を追加し、ClassLoader を操作するために必要な文字列 "class." から始まる文字列がリクエストに含まれていた場合に拒否する設定にすることで、この脆弱性を緩和することが可能です。
※3 Apache Struts 2.3.16.1 におけるこの脆弱性に対する修正が不完全である可能性が Full Disclosure※4 で示唆されています。
このことにより、次期バージョン Apache Struts 2.3.17 では、Struts の github で公開される修正コード※5 が実装される予定です。
※4 http://seclists.org/fulldisclosure/2014/Mar/50
※5 https://github.com/apache/struts/commit/aaf5a3010e3c11ae14e3d3c966a53ebab67146be
6.ソースコード
（Web非公開）
（執筆：株式会社ラック サイバー・グリッド研究所）
※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録（有料）下さい。
Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
国際クレブス氏も標的か、米男性と英１０代受刑者が連続爆破予告の疑いで起訴（The Register）
Twitter 上で「@WantedByFeds」というハンドルネームを使用していたと報じられている 20 歳のアメリカ人男性がすでに服役中のイギリス人の 10 代の若者とともに DDos 攻撃、爆破予告などを行った疑いで起訴された。
-
マイニングマルウェアを脆弱性影響分析に活用 － LACのアイデア
マイニング効率を上げるため、かなり攻撃コードは賢い設計になっている。例えばモネロはマイニングにASIC利用を排除するようになっている。
-
Microsoft Windows において ALPC における処理の不備により管理者権限で任意のファイルが削除可能となる脆弱性（Scan Tech Report）
Microsoft Windows OS において、権限の昇格が可能となる脆弱性が報告されています。
-
事件の背景 世界に広がるサイバー軍需産業 NSOグループと BlackCube
>> 本稿の前編にあたる「スパイ代行業者に狙われた権力監視機関シチズンラボ」はこちら
ソース・関連リンク
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
「azure-umqtt-c」にDoS攻撃を受ける脆弱性（JVN）
三井住友カードを騙るフィッシング報告、注意を呼びかけ（フィッシング対策協議会）
1位から4位をマイニングマルウェアが占める--月例レポート（チェック・ポイント）
国内改ざんサイトの実例を紹介（デジタルアーツ）
複数の理由で「アカウント検証」をクリックさせようとするAmazon偽メール（フィッシング対策協議会）
アドビ「Creative Cloud Desktop Application」に任意コード実行の脆弱性（JVN）
インシデント・事故 記事一覧へ
保健所に提出予定の「事例報告書」と「予防接種経過報告書」を決裁の回付中に紛失（大阪市）
巨大情報漏えいファイル群「コレクション・ナンバーワン」発見、日本人アドレス2,000万件含（ソリトン）
57名分の通知表などを含む個人情報が保存されたUSBメモリを教諭が紛失（一戸町）
チケットの案内に関するメール誤送信、データ編集時の操作ミスでアドレスと顧客情報にズレ（阪神タイガース）
フィッシングメールで教員と学生のパスワードが盗取、3,727件のメールが外部に不正転送（東京理科大学）
誤って宛先にグループ化したアドレスを設定し送信（宮城県）
調査・レポート・白書 記事一覧へ
短時間で影響を広げる国家主導のサイバー攻撃者グループ（CrowdStrike）
メールサーバセキュリティ診断の結果、61％が「要改善」（デージーネット）
Telnetへの攻撃は大きく減少するも、半数以上がIoT機器を狙う攻撃（NICT）
Windows10 導入企業 4 割がセキュリティ強化のためと回答（GfKジャパン）
宅配便業者を騙るSMSと、セクストーションメールが急増（IPA）
フィッシングメールの相談が増加、BECも4件の情報提供（IPA）
研修・セミナー・カンファレンス 記事一覧へ
セコムとソリトンが語る、NGAV と EDR 導入・運用の「ユーザーの現実」
マイニングマルウェアを脆弱性影響分析に活用 － LACのアイデア
NGAV・EDRは怖くない、一人情シス安心の賢いセキュリティ対策を紹介（ソリトン、セコムトラストシステムズ）
未来の重要セキュリティ職種「スレットハンター」とは
インテリジェンスと標準化をキーワードに考えるセキュリティ戦略セミナー（SHIFT SECURITY）
![[鋭意準備中] 今年もあの方に Black Hat USA 2018 の見どころを聞きました 画像](/imgs/std_m/25020.jpg)
