Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

NTTデータ先端技術が「Apache Struts 2」の脆弱性を検証 - 動作権限の確認を

NTTデータ先端技術は、7月16日に修正された「Apache Struts 2」の脆弱性「CVE-2013-2251」について検証を実施し、レポートを公開した。

問題の脆弱性は、任意のJavaコードが実行可能となる脆弱性。影響を受けるのは、「同2.0.0」から「同2.3.15」で脆弱性を修正した「同2.3.15.1」が公開されている。すでに脆弱性を悪用した攻撃が行われており、国内でも被害が発生している。

同社では、検証環境を用意し、攻撃対象となるサーバへ細工したHTTPリクエストを送信。「Apache Struts 2」を利用したアプリケーション経由で、アプリケーションサーバの動作権限で任意のJavaコードを実行し、外部より不正プログラムをインストールさせ、システムを制御できることを確認した。

管理者権限でアプリケーションサーバを稼働させているケースもあるが、脆弱性が悪用された場合の影響が大きいと同社は問題点を指摘。適切な権限で利用するよう呼びかけている。

(Security NEXT - 2013/07/23 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Apache Struts」のアップロード機能に深刻な脆弱性 - リモートよりコード実行のおそれ
「Struts 2」脆弱性、公開2日後には攻撃発生 - 攻撃者は1週間前から別の攻撃も展開
「Struts 2」脆弱性を狙う攻撃キャンペーン「Bleeding Thunder」 - 国内企業のサイト含む標的リストも
脆弱な「Struts 2」サイトの探索行為 - ロシアの攻撃グループが関与か
CiscoやOracle、「Struts 2」脆弱性の影響受ける製品をアナウンス
対「Struts 2」の脆弱性攻撃が発生、目的はマイニング - さらなる悪用増加に要警戒
「Apache Struts 2」脆弱性に実証コード - 地下フォーラムでも不穏な動き
「Apache ActiveMQ」に複数の脆弱性 - アップデートがリリース
「Apache Struts 2」に深刻な脆弱性 - 悪用容易で攻撃ツールなど出回るおそれも
「Spring Framework」の脆弱性、2017年の「Struts」脆弱性を想起させる危険度