Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

NTTデータ先端技術が「Apache Struts 2」の脆弱性を検証 - 動作権限の確認を

NTTデータ先端技術は、7月16日に修正された「Apache Struts 2」の脆弱性「CVE-2013-2251」について検証を実施し、レポートを公開した。

問題の脆弱性は、任意のJavaコードが実行可能となる脆弱性。影響を受けるのは、「同2.0.0」から「同2.3.15」で脆弱性を修正した「同2.3.15.1」が公開されている。すでに脆弱性を悪用した攻撃が行われており、国内でも被害が発生している。

同社では、検証環境を用意し、攻撃対象となるサーバへ細工したHTTPリクエストを送信。「Apache Struts 2」を利用したアプリケーション経由で、アプリケーションサーバの動作権限で任意のJavaコードを実行し、外部より不正プログラムをインストールさせ、システムを制御できることを確認した。

管理者権限でアプリケーションサーバを稼働させているケースもあるが、脆弱性が悪用された場合の影響が大きいと同社は問題点を指摘。適切な権限で利用するよう呼びかけている。

(Security NEXT - 2013/07/23 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Apache Struts 2」の「RESTプラグイン」に脆弱性 - DoS攻撃受けるおそれ
「Struts 2」に対する脆弱性攻撃が発生 - 3月の攻撃と類似点も
深刻な脆弱性で「Apache Struts 2.3」系もアップデート - 緩和策も
「Apache Struts 2」の公開済み脆弱性、ラックでは攻撃未確認
「Apache Struts 2.5.13」がリリース - 深刻な脆弱性など修正
「Apache Struts 2」の脆弱性、悪用コードが公開済み - 関連機関が注意喚起
「Apache Struts 2」にリモートより攻撃可能な脆弱性 - 「Struts 1 Plugin」利用時に影響
「Struts 2」脆弱性狙うアクセスが継続中 - 当初の暫定対策だけでは危険
Cisco、「Apache Struts 2」脆弱性の影響受ける製品リストを更新
都税クレカ払いサイトが4月24日より再開 - 都「安全性を確認」