Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache Struts2」に深刻な脆弱性 - 実証コードが公開、ブラウザから攻撃可能

20140417_ap_001.jpg

ウェブアプリケーションのフレームワークである「Apache Struts 2」に深刻な脆弱性が見つかった。すでに実証コードが公開されており、容易に攻撃が可能であるため、非常に危険な状況だ。

「同2.3.16」に、「ClassLoader」を操作される脆弱性「CVE-2014-0094」が明らかとなったもの。同バージョン以前も影響を受ける。

今回の脆弱性について、NTT-CERTから情報提供を受けた情報処理推進機構(IPA)では、脆弱性を検証。情報の窃取や特定ファイルの操作、ウェブアプリケーションを使用不可にできることを確認できたとして、注意喚起を開始した。

また脆弱性の動向に詳しいソフトバンク・テクノロジー技術統括プラットフォーム&データソリューション本部のシニアセキュリティエバンジェリストである辻伸弘氏は、すでに中国国内のサイトで脆弱性の実証コードが公開されていると状況を説明。

さらに同氏は、同脆弱性によって攻撃対象となるサーバから制御を奪えることを、検証環境で確認したという。同氏は、「すべてのブラウザのロケーションバーから攻撃が可能」と指摘。脆弱性を容易に悪用できる状態であるとして、警鐘を鳴らしている。

今回の脆弱性を受け、同ソフトを提供するApache Software Foundationでは、脆弱性を修正した最新版「同2.3.16.1」を公開。アップデートを強く推奨している。

(Security NEXT - 2014/04/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

アーカイブ展開に脆弱性「Zip Slip」 - 多数ソフトウェアに影響
「Adobe Connect」に認証回避のおそれ
「Spring Framework」の脆弱性、2017年の「Struts」脆弱性を想起させる危険度
「Apache Struts 2」の「RESTプラグイン」利用時にDoS攻撃受けるおそれ
「Apache HTTP Server 2.4」に認証回避など7件の脆弱性
クラウドベースのPC操作ログ分析サービス - オージス総研
「Apache Tomcat JK ISAPI Connector」に情報漏洩の脆弱性
「Apache Tomcat」に重要度「高」の脆弱性2件 - アップデート実施を
Apple、「macOS High Sierra 10.13.2」などであわせて脆弱性22件を修正
「Apache Struts 2」の「RESTプラグイン」に脆弱性 - DoS攻撃受けるおそれ