◆概要
2022 年 4 月に、Apache Struts の、遠隔からの任意のコードが実行可能となる脆弱性が公開されています。攻撃者が脆弱性の悪用に成功した場合は、脆弱な Apache Struts が稼働しているサーバへの侵入が可能となります。ソフトウェアのアップデートにより対策してください。
◆分析者コメント
Apache Struts は世界的に利用者が多く、攻撃者の注目度が高いソフトウェアであるため、脆弱性が発見されると攻撃者に狙われる傾向が強いソフトウェアです。JPCERT/CC からも注意喚起が出ている(関連情報 [2])ため、Apache Struts を運用している場合は、早急な対策が求められます。
◆深刻度(CVSS)
9.8
https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?name=CVE-2021-31805&vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H&version=3.1&source=NIST
◆影響を受けるソフトウェア
Apache Struts のバージョン 2.0.0 から 2.5.30 未満のバージョンが当該脆弱性の影響を受けると報告されています。
◆解説
Java による Web アプリケーション構築フレームワークである Apache Struts に、遠隔からの任意のコード実行が可能となる脆弱性が報告されています。
Apache Struts においてタグに含まれた OGNL 式の二重評価により遠隔からの任意のコード実行が可能となる脆弱性(Scan Tech Report)
2022 年 4 月に、Apache Struts の、遠隔からの任意のコードが実行可能となる脆弱性が公開されています。
脆弱性と脅威
![struts.apache.org](/imgs/p/hJtuSU37jUUtaOmDwCp9jp0KMwUhBQQDAgEA/38368.jpg)
関連リンク
編集部おすすめの記事
特集
Scan Tech Report
-
TeamCity におけるパス文字列処理の不備に起因する認証回避の脆弱性(Scan Tech Report)
2024 年 3 月に公開された、JetBrains 社の TeamCitry の脆弱性…
-
Windows 版 GlobalProtect App における権限昇格につながる任意のファイル削除の脆弱性(Scan Tech Report)
-
FileCatalyst Workflow における任意のコード実行につながるパストラバーサルの脆弱性(Scan Tech Report)
-
Nagios XI の monitoringwizard.php における SQL Injection の脆弱性(Scan Tech Report)
-
runc におけるコンテナ内部からホスト OS への侵害が可能となるファイルディスクリプタ情報漏えいの脆弱性(Scan Tech Report)
-
Linux の GSM ドライバにおける Use-After-Free の脆弱性(Scan Tech Report)
-
Cacti における遠隔コード実行につながる複数の脆弱性(Scan Tech Report)
-
Jenkins に任意のファイルの読み取りが可能となるコマンドラインインターフェース機能におけるアクセス制御不備の脆弱性(Scan Tech Report)
株式会社ラック(LAC)
-
TeamCity におけるパス文字列処理の不備に起因する認証回避の脆弱性(Scan Tech Report)
2024 年 3 月に公開された、JetBrains 社の TeamCitry の脆弱性…
-
Windows 版 GlobalProtect App における権限昇格につながる任意のファイル削除の脆弱性(Scan Tech Report)
-
FileCatalyst Workflow における任意のコード実行につながるパストラバーサルの脆弱性(Scan Tech Report)
-
2023年にネットバンキングの不正送金が急増した理由
-
Nagios XI の monitoringwizard.php における SQL Injection の脆弱性(Scan Tech Report)
-
ラックが2024年3月期 通期決算を公表、売上高は前期比12.4%増
-
runc におけるコンテナ内部からホスト OS への侵害が可能となるファイルディスクリプタ情報漏えいの脆弱性(Scan Tech Report)
-
Linux の GSM ドライバにおける Use-After-Free の脆弱性(Scan Tech Report)
Scan PREMIUM 会員限定記事
-
レッドチーム演習大成功 丸五か月間誰も気づけず
CISA は、これを「SILENTSHIELD 評価」と呼んでいる。CISA の…
-
今日もどこかで情報漏えい 第26回「2024年6月の情報漏えい」ふたつの “完全には否定できない” 違いは どこを向いているか
-
ランサムウェア集団が謝罪
-
TeamCity におけるパス文字列処理の不備に起因する認証回避の脆弱性(Scan Tech Report)
-
裏目に出たサンドボックス/露北軍事同盟/MFAの穴 ほか [Scan PREMIUM Monthly Executive Summary 2024年6月度]
-
開発元にソフトウェアの製造責任を負わせるのは合理的?
-
支払額倍増の場合も ~ オラクルが Fortune 200 へ Java ライセンスに関する監査書送付を開始
-
被告:CISO ~ 実例で考える CISO が訴訟されるリスク
Scan PREMIUM 倶楽部
-
レッドチーム演習大成功 丸五か月間誰も気づけず
CISA は、これを「SILENTSHIELD 評価」と呼んでいる。CISA の…
-
今日もどこかで情報漏えい 第26回「2024年6月の情報漏えい」ふたつの “完全には否定できない” 違いは どこを向いているか
-
ランサムウェア集団が謝罪
-
TeamCity におけるパス文字列処理の不備に起因する認証回避の脆弱性(Scan Tech Report)
-
裏目に出たサンドボックス/露北軍事同盟/MFAの穴 ほか [Scan PREMIUM Monthly Executive Summary 2024年6月度]
-
開発元にソフトウェアの製造責任を負わせるのは合理的?
-
支払額倍増の場合も ~ オラクルが Fortune 200 へ Java ライセンスに関する監査書送付を開始
-
被告:CISO ~ 実例で考える CISO が訴訟されるリスク
脆弱性と脅威 アクセスランキング
-
Assimp にヒープベースのバッファオーバーフローの脆弱性
-
「アダルトサイトを閲覧している姿を撮影した」脅迫メールの報告が急増(IPA)
-
スマホアプリ「ピッコマ」に外部サービスの APIキーがハードコードされている問題
-
「ポケモンセンターオンライン」を装ったフィッシングサイトに注意喚起(ポケモンセンター)
-
NETGEAR 製ルータにバッファオーバーフローの脆弱性
-
JPCERT/CC、仮想通貨マイニングツールのXMRigの設置を狙った攻撃を順序立てて詳説~対策マニュアルとしても有効
-
PlayStation公式になりすましたアカウントに注意喚起、個人情報要求DMも
-
Apache HTTP Server 2.4 に複数の脆弱性
-
メルカリがフィッシング詐欺に注意喚起、アプリの利用など推奨
-
「GROWI」にWebブラウザ上で任意のスクリプトを実行される複数の脆弱性(JVN)