![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.2018100901.png){kind=logo}
Apache Struts 2 の Parameters インターセプタの実装に起因するClassLoader を操作可能な脆弱性（Scan Tech Report）
Apache Struts 2 の Parameters インターセプタには、class パラメータの処理に起因して ClassLoader を不正に操作されてしまう脆弱性が存在します。
脆弱性と脅威
エクスプロイト
Apache Struts 2 の Parameters インターセプタには、class パラメータの処理に起因して ClassLoader を不正に操作されてしまう脆弱性が存在します。
悪意あるリモートの第三者に利用された場合、Apache Struts 2 上で動作するWeb アプリケーションを一時的にサービス不能状態にされる、あるいはシステム上で不正な操作が実行される可能性があります。
外部に公開する Web アプリケーションで Apache Struts 2 を利用する環境では、深刻な影響を受ける可能性があるため、影響を受けるバージョンの Apache Struts 2 を利用するユーザは速やかに以下に記載する対策を実施することを推奨します。
2.深刻度(CVSS)
5.0
http://nvd.nist.gov/cvss.cfm?version=2&name=CVE-2014-0094&vector=%28AV:N/AC:L/AU:N/C:N/I:P/A:N%29
3.影響を受けるソフトウェア
Apache Struts 2.0.0 - 2.3.16
4.解説
Apache Struts は、Apache Software Foundation が提供する Web アプリケーションを構築するためのフレームワークであり、インターセプタと呼ばれる、
Action クラスの前後に処理を挟み込む機能が実装されています。その中の 1 つ、Parameters インターセプタ (ParametersInterceptor)※1 は、リクエストパラメータを制御することを目的としています。
Apache Struts 2 には、この Parameters インターセプタにおいて、class パラメータを適切にチェックせず、直接 getClass() メソッドへ渡してしまう不備があります。
このため、class.classLoader.* を含むリクエストを介して ClassLoader を不正に操作可能な脆弱性が存在します。
この脆弱性を利用することで、リモートの攻撃者は、Apache Struts 2 上で動作する Web アプリケーションを一時的にサービス不能状態する、あるいは Apache Struts 2 を実行するユーザの権限で任意の Java コードが可能となります。
なお、公開されている攻撃手法では、ClassLoader を介して Apache Tomcat のアクセスログの出力先※2、ファイル名およびフォーマットを変更します。
その後、Java コードを含むリクエストを送信し、アクセスログに Java コードを書き込み、アクセスログを参照することによって、送信した Java コードを実行するという手法になります。
※1 http://struts.apache.org/development/2.x/docs/parameters-interceptor.html
※2 出力先は公開ディレクトリ、ファイル名は JSP ファイルに変更します。
5.対策
以下の Web サイトより、Apache Struts 2.3.16.1 以降を入手しアップデートすることで、この脆弱性を解消※3 することが可能です。
Apache Struts 2.3.16.1:
http://struts.apache.org/download.cgi
あるいは、設定ファイル struts-default.xml の excludeparams に ^class\.を追加し、ClassLoader を操作するために必要な文字列 "class." から始まる文字列がリクエストに含まれていた場合に拒否する設定にすることで、この脆弱性を緩和することが可能です。
※3 Apache Struts 2.3.16.1 におけるこの脆弱性に対する修正が不完全である可能性が Full Disclosure※4 で示唆されています。
このことにより、次期バージョン Apache Struts 2.3.17 では、Struts の github で公開される修正コード※5 が実装される予定です。
※4 http://seclists.org/fulldisclosure/2014/Mar/50
※5 https://github.com/apache/struts/commit/aaf5a3010e3c11ae14e3d3c966a53ebab67146be
6.ソースコード
（Web非公開）
（執筆：株式会社ラック サイバー・グリッド研究所）
※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録（有料）下さい。
Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html
関連記事
Scan PREMIUM 会員限定記事
もっと見る-
国際諜報機関 ＭＩ６、ＤＨＳ、ＣＩＡ、ＮＳＡ 元長官が考えるサイバー戦争国際ルール（The Register）
2016 年アメリカ大統領選におけるロシアの介入が民主主義にもたらした影響はニューヨークのテロ攻撃に匹敵するものであるかもしれない、と示唆した。
-
電子投票マシンの脆弱性、中間選挙で使用された実機検証で発見された不審な痕跡とは
近年、選挙でも問題になるのがサイバー攻撃だ。投票結果の改ざん、議員スキャンダルを狙ったもの、関連した諜報活動や選挙妨害。これらはいまやサイバー攻撃でも行われる。米大統領の中間選挙が迫るなか、あらためて投票とサイバー攻撃について考えたい。
-
システムログツール Sysmon のバイパス・回避・改ざん手法と対策
直訳すれば「Sysmon破り：公式セキュリティアプリケーションの回避方法」といったところだ。
-
VLC Media Player において mkv ファイルのパース処理におけるメモリ操作の不備に起因する Use-After-Free の脆弱性（Scan Tech Report）
動画再生ソフトウェアとして世界的なシェアを誇る VLC Media Player に、遠隔から任意のコードを実行させることが可能となる脆弱性が報告されています。
ソース・関連リンク
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
「Paypal」騙る、本文3行のフィッシングメールを確認（フィッシング対策協議会）
WordPressプラグイン「LearnPress」に複数の脆弱性（JVN）
NTT西日本の「セキュリティ対策ツール」に任意コード実行の脆弱性（JVN）
3Dセキュア（本人認証サービス）を騙るフィッシングを確認（フィッシング対策協議会）
PowerDNS RecursorおよびAuthoritative Serverに複数の脆弱性（JPRS）
自己暗号化ドライブ製品にデータを復号される複数の脆弱性（JVN）
インシデント・事故 記事一覧へ
複製「Windows7」などをプロダクトキーとセットで販売、逮捕（ACCS）
住民へのインタビューファイルを宗教団体「アレフ」に誤送信（NHK札幌放送局）
制作委託会社のディレクターが映像ファイルを第三者に誤送信（NHK）
誤送信で発電・小売電気事業者のメールアドレス556件が流出（中部電力）
WASEDAメールに外部から不正ログイン、業務メールを不正閲覧された可能性（早稲田大学）
麻薬研究者免許申請時に添付された履歴書を紛失（神奈川県）
調査・レポート・白書 記事一覧へ
APACでは日本の脅威アラートは少数、それでも18％が1日50件以上（ジュニパーネットワークス）
不正ログイン試行は月30％の割合で増加、ボットネットを活用（アカマイ）
「情報セキュリティ対策ベンチマーク」最新版、および統計情報を公開（IPA）
企業・団体等の常時SSL化状況、大学・銀行・小中高校で高い割合（JIPDEC）
WannaCryなどで使用されたポート445へのパケットが増加--定点観測レポート（JPCERT/CC）
根拠なき安心へ突きつける不吉な答え － 書評「原発サイバートラップ」
研修・セミナー・カンファレンス 記事一覧へ
奥家氏や名和氏、鴨志田氏など登壇のサイバーセキュリティセミナー（DNP）
次世代サービスプロバイダーとエッジコンピューティングのサミット共催（リックテレコム）
電子投票マシンの脆弱性、中間選挙で使用された実機検証で発見された不審な痕跡とは
![[開催前日] 篠田佳奈の CODE BLUE 2018、Scan 読者向けおすすめセッション 画像](/imgs/std_m/25699.jpg)
[開催前日] 篠田佳奈の CODE BLUE 2018、Scan 読者向けおすすめセッション
中学生・高校生がネットを安心・安全に利用するためのアイデアを考える「ウェブレンジャープログラム」表彰式を開催(Google)
![[鋭意準備中] 今年もあの方に Black Hat USA 2018 の見どころを聞きました 画像](/imgs/std_m/25020.jpg)
![[4月1日配信記事] サイバーセキュリティ専門誌 ScanNetSecurity が創刊 20 周年記念し物理セキュリティジャンルに進出、自宅警備に特化した姉妹誌を4月1日新創刊 画像](/imgs/std_m/24158.jpg)
![[配信予告] 情報漏えい事故後の謝罪記者会見ワークショップを取材しました 画像](/imgs/std_m/22971.jpg)
