Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache Struts2」に深刻な脆弱性 - 実証コードが公開、ブラウザから攻撃可能

20140417_ap_001.jpg

ウェブアプリケーションのフレームワークである「Apache Struts 2」に深刻な脆弱性が見つかった。すでに実証コードが公開されており、容易に攻撃が可能であるため、非常に危険な状況だ。

「同2.3.16」に、「ClassLoader」を操作される脆弱性「CVE-2014-0094」が明らかとなったもの。同バージョン以前も影響を受ける。

今回の脆弱性について、NTT-CERTから情報提供を受けた情報処理推進機構(IPA)では、脆弱性を検証。情報の窃取や特定ファイルの操作、ウェブアプリケーションを使用不可にできることを確認できたとして、注意喚起を開始した。

また脆弱性の動向に詳しいソフトバンク・テクノロジー技術統括プラットフォーム&データソリューション本部のシニアセキュリティエバンジェリストである辻伸弘氏は、すでに中国国内のサイトで脆弱性の実証コードが公開されていると状況を説明。

さらに同氏は、同脆弱性によって攻撃対象となるサーバから制御を奪えることを、検証環境で確認したという。同氏は、「すべてのブラウザのロケーションバーから攻撃が可能」と指摘。脆弱性を容易に悪用できる状態であるとして、警鐘を鳴らしている。

今回の脆弱性を受け、同ソフトを提供するApache Software Foundationでは、脆弱性を修正した最新版「同2.3.16.1」を公開。アップデートを強く推奨している。

(Security NEXT - 2014/04/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Apache Struts」のアップロード機能に深刻な脆弱性 - リモートよりコード実行のおそれ
「Apache Tomcat JK mod_jk Connector」にURI制限をバイパスされる脆弱性
「Apache Tomcat」にオープンリダイレクトの脆弱性 - 9月のアップデートで修正済み
「Struts 2」脆弱性、公開2日後には攻撃発生 - 攻撃者は1週間前から別の攻撃も展開
国際金融取引システムの不正送金に北朝鮮「APT38」が関与 - 外交交渉の裏で止まぬ攻撃
PHP脆弱性「CVE-2018-17082」 - キャッシュ汚染のおそれ
TP-Link製のWi-Fiネットワーク管理ツールに複数脆弱性
「Struts 2」脆弱性を狙う攻撃キャンペーン「Bleeding Thunder」 - 国内企業のサイト含む標的リストも
脆弱な「Struts 2」サイトの探索行為 - ロシアの攻撃グループが関与か
PHPに脆弱性、セキュリティ更新がリリース - 不正プログラムをインストールされる可能性も