Apache Struts 2の脆弱性はApache Struts 1にも影響、対策を呼びかけ（ラック） | ScanNetSecurity
2024.07.27（土）
コンテンツ
注目検索ワード
ホーム › 脆弱性と脅威 › セキュリティホール・脆弱性 › 記事

Apache Struts 2の脆弱性はApache Struts 1にも影響、対策を呼びかけ（ラック）

ラック サイバー・グリッド研究所は、Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響することについて注意喚起を発表した。

脆弱性と脅威
影響を受ける可能性のあるバージョン
  • 影響を受ける可能性のあるバージョン
  • 攻撃の結果、パスワードが表示された様子
株式会社ラック サイバー・グリッド研究所は4月24日、Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響することについて注意喚起を発表した。これは、Apache Struts 2 に存在するとされた、リモートの攻撃者により任意のコードが実行される脆弱性（CVE-2014-0094）と同様の問題が、Apache Struts 1 においても存在していることを確認したというもの。

Apache Struts 1は2008年10月4日に最終版が公開され、2013年4月5日でサポート終了となっているが、開発元であるApache Strutsプロジェクトからは公式なアナウンスは出ておらず、今後正規の更新プログラムの提供もされないものと考えられる。一方、Struts 1 が稼働しているWebサイトは、官公庁や公益法人、銀行などを含め国内に数多く存在しており、提供ベンダからの個別サポートなど個々で特別な対応を行ってない限り、攻撃に関して脆弱な状態のままと推測される。

ラックではStruts 1の場合の対策として、提供ベンダへの対応の確認を行った上で指示に従うか、もしくは、不正な文字列がパラメータに含まれる場合（正規表現：「(^|\W)[cC]lass\W」に合致するパラメータ名が含まれる場合等）にリクエストを拒否するフィルタ機能を実装することや、WAF、IPSなどネットワーク側で当該攻撃を遮断することを挙げている。なお、Apache Strutsプロジェクトより公開された情報はStruts2向けの回避策であるが、ここに掲載されている正規表現も参考になるとしている。
《吉澤 亨史（ Kouji Yoshizawa ）》

関連リンク

編集部おすすめの記事

特集

株式会社ラック（LAC）

脆弱性情報

サポート終了

脆弱性と脅威 アクセスランキング

  1. 「ポケモンセンターオンライン」を装ったフィッシングサイトに注意喚起（ポケモンセンター）

    「ポケモンセンターオンライン」を装ったフィッシングサイトに注意喚起（ポケモンセンター）

  2. VMware 製品にヒープベースのバッファオーバーフローの脆弱性や複数のローカル権限昇格の脆弱性

    VMware 製品にヒープベースのバッファオーバーフローの脆弱性や複数のローカル権限昇格の脆弱性

  3. PlayStation公式になりすましたアカウントに注意喚起、個人情報要求DMも

    PlayStation公式になりすましたアカウントに注意喚起、個人情報要求DMも

  4. Assimp にヒープベースのバッファオーバーフローの脆弱性

  5. サイボウズ Garoon に XSS の脆弱性

  6. ウクライナと東京を繋げた瞬間 ～ 日本プルーフポイント 増田幸美がこだわるプレゼンテーションスライドの一枚目

  7. acmailer の脆弱性の確認と対応方法、さくらインターネット公開

  8. 「Microsoft Teams」に、DLL読み込みに起因する任意コード実行の脆弱性（JVN）

  9. PC版「ダークソウル」シリーズのサーバを一時停止、攻撃者が任意のコードを実行できる脆弱性

  10. TikTok を悪用する新たな詐欺行為、盗んだ動画でライブ配信しギフトを収益化

アクセスランキングをもっと見る

Page Top
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」
「経理」「営業」「企画」「プログラミング」「デザイン」と並ぶ、事業で成功するためのビジネスセンスが「セキュリティ」

ページ右上「ユーザー登録」から会員登録すれば会員限定記事を閲覧できます。毎週月曜の朝、先週一週間のセキュリティ動向を総括しふりかえるメルマガをお届け。（写真：ScanNetSecurity 名誉編集長 りく）
×