Apache Struts 2 の Parameters インターセプタの実装に起因するClassLoader を操作可能な脆弱性（Scan Tech Report）
Apache Struts 2 の Parameters インターセプタには、class パラメータの処理に起因して ClassLoader を不正に操作されてしまう脆弱性が存在します。
脆弱性と脅威
エクスプロイト
Apache Struts 2 の Parameters インターセプタには、class パラメータの処理に起因して ClassLoader を不正に操作されてしまう脆弱性が存在します。
悪意あるリモートの第三者に利用された場合、Apache Struts 2 上で動作するWeb アプリケーションを一時的にサービス不能状態にされる、あるいはシステム上で不正な操作が実行される可能性があります。
外部に公開する Web アプリケーションで Apache Struts 2 を利用する環境では、深刻な影響を受ける可能性があるため、影響を受けるバージョンの Apache Struts 2 を利用するユーザは速やかに以下に記載する対策を実施することを推奨します。
2.深刻度(CVSS)
5.0
http://nvd.nist.gov/cvss.cfm?version=2&name=CVE-2014-0094&vector=%28AV:N/AC:L/AU:N/C:N/I:P/A:N%29
3.影響を受けるソフトウェア
Apache Struts 2.0.0 - 2.3.16
4.解説
Apache Struts は、Apache Software Foundation が提供する Web アプリケーションを構築するためのフレームワークであり、インターセプタと呼ばれる、
Action クラスの前後に処理を挟み込む機能が実装されています。その中の 1 つ、Parameters インターセプタ (ParametersInterceptor)※1 は、リクエストパラメータを制御することを目的としています。
Apache Struts 2 には、この Parameters インターセプタにおいて、class パラメータを適切にチェックせず、直接 getClass() メソッドへ渡してしまう不備があります。
このため、class.classLoader.* を含むリクエストを介して ClassLoader を不正に操作可能な脆弱性が存在します。
この脆弱性を利用することで、リモートの攻撃者は、Apache Struts 2 上で動作する Web アプリケーションを一時的にサービス不能状態する、あるいは Apache Struts 2 を実行するユーザの権限で任意の Java コードが可能となります。
なお、公開されている攻撃手法では、ClassLoader を介して Apache Tomcat のアクセスログの出力先※2、ファイル名およびフォーマットを変更します。
その後、Java コードを含むリクエストを送信し、アクセスログに Java コードを書き込み、アクセスログを参照することによって、送信した Java コードを実行するという手法になります。
※1 http://struts.apache.org/development/2.x/docs/parameters-interceptor.html
※2 出力先は公開ディレクトリ、ファイル名は JSP ファイルに変更します。
5.対策
以下の Web サイトより、Apache Struts 2.3.16.1 以降を入手しアップデートすることで、この脆弱性を解消※3 することが可能です。
Apache Struts 2.3.16.1:
http://struts.apache.org/download.cgi
あるいは、設定ファイル struts-default.xml の excludeparams に ^class\.を追加し、ClassLoader を操作するために必要な文字列 "class." から始まる文字列がリクエストに含まれていた場合に拒否する設定にすることで、この脆弱性を緩和することが可能です。
※3 Apache Struts 2.3.16.1 におけるこの脆弱性に対する修正が不完全である可能性が Full Disclosure※4 で示唆されています。
このことにより、次期バージョン Apache Struts 2.3.17 では、Struts の github で公開される修正コード※5 が実装される予定です。
※4 http://seclists.org/fulldisclosure/2014/Mar/50
※5 https://github.com/apache/struts/commit/aaf5a3010e3c11ae14e3d3c966a53ebab67146be
6.ソースコード
（Web非公開）
（執筆：株式会社ラック サイバー・グリッド研究所）
※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録（有料）下さい。
Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html
ソース・関連リンク
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
脆弱性と脅威ここが変だよ日本のセキュリティ 第43回 「パスワード管理は続くよ、どこまでも（パスつづ）」（後編）
後編では、これからも長い付き合いになりそうなパスワードの、不都合な真実って奴に突っ込んで、真実を暴きます。そしてもちろん言いっぱなしにはしません。何が何故、残念で、どうすればいいかを説明します。
-
FreeBSD の IPv6 ソケットにおける競合状態と Use-After-Free の脆弱性（Scan Tech Report）
2020 年 7 月に、UNIX 系 OS である FreeBSD に、管理者権限の奪取が可能となる脆弱性が報告されています。
-
GitLabがユーザーのソースコードを調査、予想どおり見つかった脆弱性の傾向と内訳とは
マイクロソフトのGitホスティングサービス「GitHub」の競合サービスである「GitLab」が顧客のホストするソフトウェアプロジェクトのセキュリティについて2回目のテストを実施、そして不備を発見した。
-
日本トップ１０入り、ハーバード大学 世界各国のサイバーパワーをランク付け ほか [Scan PREMIUM Monthly Executive Summary]
測定結果の内容については賛否両論あるかと思いますが、日本のトップ 10 へのランクインは思いのほか高評価です。測定項目は「Surveillance」「Defense」「Information Control」「Intelligence」「Commercial」「Offense」「Norms」の 7 つです。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
Oracle Java SEに脆弱性 攻撃された場合の影響大、早急なアップデート呼びかけ
vBulletinの脆弱性（CVE-2020-17496）を標的としたアクセスを観測
Advantech社のWebAccess/SCADAとR-SeeNetに脆弱性（JVN）
脅迫メール送信後、30分から60分間DDoSを実施し能力示す（JPCERT/CC）
ステガノグラフィー用い攻撃モジュール隠し、メインモジュールはビットマップファイルに偽装（カスペルスキー）
WordPress用プラグインLive Chat - Live supportにCSRFの脆弱性（JVN）
インシデント・事故 記事一覧へ
社員PCが「Emotet」感染、鳥羽洋行騙る暗号化ZIP付不審メール確認
シルバニアファミリーオンラインショップのメール流出、プログラム改修が原因
「ドコモ口座」不正利用の被害件数を公開、補償完了は122件2,797万円に
「マンション・ラボ」に不正アクセス、記事ページが改ざん（つなぐネットコミュニケーションズ）
新潟県の全庁調査 続報、会議資料や写真掲載記事まで範囲を拡大
従業員のパソコンが「Emotet」感染、zip形式のマルウェア添付メールを送信（京セラ）
調査・レポート・白書 記事一覧へ
ブロードバンドセキュリティが実施した脆弱性管理の500名調査の結果、見えてきた課題
「Emotet」関連相談が大幅増 ～ IPAの情報セキュリティ安心相談窓口
2020年度上半期のJASRAC徴収実績、新型コロナの影響でインタラクティブ配信以外減少
自治体の防災メールなりすまし対策実施状況
世界各国企業のDX成熟度のベンチマーク実施
浮かび上がる全体像 CrowdStrike が結んだランサムウェアの点と線
研修・セミナー・カンファレンス 記事一覧へ
イエラエセキュリティ取締役とエンジニアが「セキュリティ・ミニキャンプ」に登壇
eスキミング：その手口と対策
DX時代の企業のプライバシーガバナンス、CEATEC 2020 ONLINEの経産省講演
セキュリティは二番ではない ～ セキュリティ・キャンプ全国大会2020 オンライン開講
今年も難題：脆弱性を改善しない企業への教育、MBSD Cybersecurity Challenges 2020（MBSD、ビーアライブ）
