![ScanNetSecurity[国内最大級のサイバーセキュリティ専門ポータルサイト]](/base/images/header-logo.png){kind=logo}
Apache Struts 2 の Parameters インターセプタの実装に起因するClassLoader を操作可能な脆弱性（Scan Tech Report）
脆弱性と脅威 エクスプロイト
Apache Struts 2 の Parameters インターセプタには、class パラメータの処理に起因して ClassLoader を不正に操作されてしまう脆弱性が存在します。
悪意あるリモートの第三者に利用された場合、Apache Struts 2 上で動作するWeb アプリケーションを一時的にサービス不能状態にされる、あるいはシステム上で不正な操作が実行される可能性があります。
外部に公開する Web アプリケーションで Apache Struts 2 を利用する環境では、深刻な影響を受ける可能性があるため、影響を受けるバージョンの Apache Struts 2 を利用するユーザは速やかに以下に記載する対策を実施することを推奨します。
2.深刻度(CVSS)
5.0
http://nvd.nist.gov/cvss.cfm?version=2&name=CVE-2014-0094&vector=%28AV:N/AC:L/AU:N/C:N/I:P/A:N%29
3.影響を受けるソフトウェア
Apache Struts 2.0.0 - 2.3.16
4.解説
Apache Struts は、Apache Software Foundation が提供する Web アプリケーションを構築するためのフレームワークであり、インターセプタと呼ばれる、
Action クラスの前後に処理を挟み込む機能が実装されています。その中の 1 つ、Parameters インターセプタ (ParametersInterceptor)※1 は、リクエストパラメータを制御することを目的としています。
Apache Struts 2 には、この Parameters インターセプタにおいて、class パラメータを適切にチェックせず、直接 getClass() メソッドへ渡してしまう不備があります。
このため、class.classLoader.* を含むリクエストを介して ClassLoader を不正に操作可能な脆弱性が存在します。
この脆弱性を利用することで、リモートの攻撃者は、Apache Struts 2 上で動作する Web アプリケーションを一時的にサービス不能状態する、あるいは Apache Struts 2 を実行するユーザの権限で任意の Java コードが可能となります。
なお、公開されている攻撃手法では、ClassLoader を介して Apache Tomcat のアクセスログの出力先※2、ファイル名およびフォーマットを変更します。
その後、Java コードを含むリクエストを送信し、アクセスログに Java コードを書き込み、アクセスログを参照することによって、送信した Java コードを実行するという手法になります。
※1 http://struts.apache.org/development/2.x/docs/parameters-interceptor.html
※2 出力先は公開ディレクトリ、ファイル名は JSP ファイルに変更します。
5.対策
以下の Web サイトより、Apache Struts 2.3.16.1 以降を入手しアップデートすることで、この脆弱性を解消※3 することが可能です。
Apache Struts 2.3.16.1:
http://struts.apache.org/download.cgi
あるいは、設定ファイル struts-default.xml の excludeparams に ^class\.を追加し、ClassLoader を操作するために必要な文字列 "class." から始まる文字列がリクエストに含まれていた場合に拒否する設定にすることで、この脆弱性を緩和することが可能です。
※3 Apache Struts 2.3.16.1 におけるこの脆弱性に対する修正が不完全である可能性が Full Disclosure※4 で示唆されています。
このことにより、次期バージョン Apache Struts 2.3.17 では、Struts の github で公開される修正コード※5 が実装される予定です。
※4 http://seclists.org/fulldisclosure/2014/Mar/50
※5 https://github.com/apache/struts/commit/aaf5a3010e3c11ae14e3d3c966a53ebab67146be
6.ソースコード
（Web非公開）
（執筆：株式会社ラック サイバー・グリッド研究所）
※Web非公開該当コンテンツ閲覧をご希望の方はScan Tech Reportにご登録（有料）下さい。
Scan Tech Report
http://scan.netsecurity.ne.jp/archives/51916302.html
関連記事
ソース・関連リンク
Scan PREMIUM 会員限定記事
もっと見る-
国際医療・教育・金融・保険・公共 ～ 産業別の個人情報漏えいリスク（The Register）
世界中で起こるデータ漏えいの4分の1以上が組織の「内部関係者」の椅子とキーボードの間（の人間）から生じたと知っても、組織の経営陣は驚かないだろう。もちろん、それはそのような内部関係者が怪しげなリンクをクリックしたということではない。
-
シリアの病院爆撃、遠隔医療支援時の英国人医師PCから情報窃取か（The Register）
戦争により疲弊するアレッポで、インターネット越しに手術を手引きしたイギリス人外科医が、仮設病院を狙うために自分のPCがハッキングされ、そして病院が爆撃されたのではないかと懸念している。
-
ロシアが世界に仕掛ける「ハイブリッド戦」の鍵となる自称民主主義とサイバー戦闘力
図1はロシアが展開しているハイブリッド戦争のおおまかな流れである。
-
Adobe Flash Player の Primetime SDK における Use-After-Free の脆弱性（Scan Tech Report）
Adobe Flash Player に含まれている SDK に、ポインタ制御の不備が報告されています。
-
投資家向けにセキュリティ対策状況を開示すべきか、悪用を恐れ開示しないべきか～英上場企業実態（The Register）
FTSE100（ロンドン証券取引所上場銘柄時価総額上位100）企業のうち、オンラインでのビジネス保護について実施する診断についての情報開示を行っているのはわずか5社である。
-
暗号を民主化した男～64歳現役ハッカー15の未来予測
RSA暗号を開発した1人 アディ・シャミア博士の、将来15年間に起こるであろう暗号とサイバーセキュリティに関する15の予測をレポートします。
カテゴリ別新着記事
脆弱性と脅威 記事一覧へ
Oracleが複数製品のクリティカルパッチアップデートを公開（JPCERT/CC、IPA）
「不正アクセスで支払い方法を変更された」ソフトバンク騙るフィッシング（フィッシング対策協議会）
「Drupal」の脆弱性を狙うアクセスの増加を確認（警察庁）
ECサイト構築システム「EC-CUBE」に任意の操作を実行される脆弱性（JVN）
MUFGカード騙るフィッシングメール、新たなリンク先URLを確認（フィッシング対策協議会）
「SoundEngine Free」のインストーラに任意コード実行の脆弱性（JVN）
インシデント・事故 記事一覧へ
消費者啓発員へ依頼通知の際、38件の個人情報記載の名簿を誤同封（堺市）
内視鏡手術画像データ他126名の個人情報含む外付HD紛失（相模野病院）
不正アクセスにより健診すずめ通信の会員情報が14,542件が流出(尼崎市)
不正にカード番号を2万回以上入力して寄付申し込み、決済は失敗(長野県)
医師を騙るソーシャルエンジニアリングで研修医の個人情報漏えい(新潟県)
「ユーザID・パスワードを忘れた場合の通知機能」が悪用されログイン情報が流出(エーアンドエー)
調査・レポート・白書 記事一覧へ
2017年のDDoS攻撃、ビットコイン投資家増の韓国が標的に（CDNetworks）
子どものスマートフォン利用、16.2％は何らかのトラブルに遭遇(東京都)
WebサーバやCMSの脆弱性を悪用する、送信元を秘匿した攻撃が一時的に増加（ラック）
2017年に盗難・漏えいしたデータ数は前年比89％増加の26億件（ジェムアルト）
Spring Frameworkにおける、リモートOSコマンド実行の脆弱性を検証（NTTデータ先端技術）
54％のWebアプリ、32％のホストにMedium以上の脆弱性--診断レポート（ラック）
研修・セミナー・カンファレンス 記事一覧へ
初心者向けハッキングハンズオン研修が盛況
エンドポイントへのサイバー攻撃を実体験するハンズオンセミナー開催、ジャパンネット銀行 CSIRT リーダー岩本氏 基調講演
トップとビリで売上3倍差！セキュリティへの取り組みが命運を分けた Hardening 2017 Fes
過去10回の総括、そして未来を見据える「Hardening 2017 Fes」
CASBのダークサイド ～ その誤解と導入後の課題
![[配信予告] 情報漏えい事故後の謝罪記者会見ワークショップを取材しました 画像](/imgs/std_m/22971.jpg)
![[配信予告] あの方に今年の Black Hat USA 2017 の見どころを聞きました 画像](/imgs/std_m/22623.jpg)
![[配信予告] 新連載「Heart of Darknet - インターネット闇の奥」開始のおしらせ 画像](/imgs/std_m/22570.jpg)
![[配信予告] 新連載「ペネトレーションテスターは見た！」開始のおしらせ 画像](/imgs/std_m/21969.jpg)
