Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache Struts 2」に深刻な脆弱性 - 一部実証コードが公開済み

ウェブアプリケーションのフレームワークである「Apache Struts 2」に、任意のコードが実行される脆弱性「CVE-2016-3081」など複数の脆弱性が含まれていることがわかった。脆弱性を修正したアップデートが提供されている。

Apache Struts
Apache Struts

「Apache Struts 2」において、「Dynamic Method Invocation(DMI)」を有効化している場合にリモートより任意のコードを実行されるおそれがある脆弱性「CVE-2016-3081」が判明したもの。すでに実証コード「PoC」が公開されているという。

影響を受けるバージョンは、「Apache Struts 2.3.28」から「同2.3.20」。ただし、4月19日に修正版として公開された「Apache Struts 2.3.20.3」および「同2.3.24.3」は影響を受けない。

またこれ以外にも「XSLTResult」に関する脆弱性「CVE-2016-3082」や、一部バージョンで未修正となっていた脆弱性「CVE-2016-0785」なども対処された。

Apache Struts projectでは、脆弱性を修正した「同2.3.20.3」「同2.3.24.3」「同2.3.28.1」を公開。セキュリティ機関などもアップデートを呼びかけている。

(Security NEXT - 2016/04/27 ) このエントリーをはてなブックマークに追加

PR

関連記事

「SQLインジェクション」を多数観測 - CMSのDB狙う攻撃も
約6年前のWPプラグイン脆弱性を狙う攻撃が11月に急増 - 攻撃元IPアドレスは3000件超
脆弱ライブラリ同梱した「Apache Struts」、「Webex」などCisco製品にも影響
「Apache Struts」のアップロード機能に深刻な脆弱性 - リモートよりコード実行のおそれ
「Apache Struts 2.3」系、2019年5月にサポート終了 - 移行の検討を
「Struts 2」脆弱性、公開2日後には攻撃発生 - 攻撃者は1週間前から別の攻撃も展開
国際金融取引システムの不正送金に北朝鮮「APT38」が関与 - 外交交渉の裏で止まぬ攻撃
「Struts 2」脆弱性を狙う攻撃キャンペーン「Bleeding Thunder」 - 国内企業のサイト含む標的リストも
脆弱な「Struts 2」サイトの探索行為 - ロシアの攻撃グループが関与か
IoTボット、感染対象を「Apache Struts 2」やセキュリティ製品にも拡大