Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

修正版「Apache Struts2」は対応不十分、いまだゼロデイ状態 - MBSDが注意喚起

20140424_ap_001.jpg

ウェブアプリケーションのフレームワークである「Apache Struts 2」に深刻な脆弱性「CVE-2014-0094」が見つかった問題で、修正版として公開された最新版「同2.3.16.1」でも、攻撃を受けるおそれがあることがわかった。脆弱性を発見した三井物産セキュアディレクション(MBSD)では、注意を呼びかけるとともに、緩和策を案内している。

問題の「CVE-2014-0094」は、「ClassLoader」を操作される脆弱性。Apache Software Foundationでは、3月に修正版として「同2.3.16.1」を公開している。同脆弱性については、実証コードが公開されており、悪用が容易であるとしてセキュリティ機関や専門家が注意喚起を行っている。

MBSDは、同バージョンに関して「修正が不十分であり、いまだClassLoaderを操作される脆弱性が存在している」と不具合を指摘。情報漏洩や不正なファイル操作、サービス拒否、場合によっては任意のコードを実行されるおそれがあるとして、同社ではApache Software Foundationに脆弱性を報告したという。

今回の問題を受けて同社では、脆弱性を緩和するサーブレットフィルタのソースコードを公開した。公式対応ではなくあくまで暫定対策であるとし、利用条件を確認、十分検証を実施した上で利用するよう呼びかけている。

(Security NEXT - 2014/04/24 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Apache Struts」のアップロード機能に深刻な脆弱性 - リモートよりコード実行のおそれ
「Struts 2」脆弱性、公開2日後には攻撃発生 - 攻撃者は1週間前から別の攻撃も展開
国際金融取引システムの不正送金に北朝鮮「APT38」が関与 - 外交交渉の裏で止まぬ攻撃
「Struts 2」脆弱性を狙う攻撃キャンペーン「Bleeding Thunder」 - 国内企業のサイト含む標的リストも
脆弱な「Struts 2」サイトの探索行為 - ロシアの攻撃グループが関与か
IoTボット、感染対象を「Apache Struts 2」やセキュリティ製品にも拡大
CiscoやOracle、「Struts 2」脆弱性の影響受ける製品をアナウンス
対「Struts 2」の脆弱性攻撃が発生、目的はマイニング - さらなる悪用増加に要警戒
「Apache Struts 2」脆弱性に実証コード - 地下フォーラムでも不穏な動き
「Apache ActiveMQ」に複数の脆弱性 - アップデートがリリース