Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

IPA、「Apache Struts 2」利用者へ更新呼びかけ - 「Struts 1」への影響は不明

ウェブアプリケーションのフレームワークである「Apache Struts 2」に脆弱性「CVE-2016-3081」が明らかとなった問題で、情報処理推進機構(IPA)は利用者へ早急にアップデートを講じるよう注意喚起を行った。「Apache Struts 1」への影響はわかっていないという。

20160427_ip_003.jpg
攻撃イメージ(画像:IPA)

問題の脆弱性は、「Apache Struts 2」の「Dynamic Method Invocation(DMI)」に存在。同機構では、脆弱性が悪用された場合、リモートより任意のコードを実行されるおそれがある。

同機構は、「攻撃コード」が確認されていると指摘。すでに警察庁も、複数の攻撃ツールを把握しており、脆弱性を狙ったと見られるアクセスが観測している

影響を受けるバージョンは、「Apache Struts 2.3.28」から「同2.3.20」。ただし、最新版とともに4月19日に修正版として公開された「Apache Struts 2.3.20.3」および「同2.3.24.3」は含まれない。すでにサポートが終了している「Apache Struts 1」への影響はわかっていないという。

同機構では、「Apache Struts 2」の利用者に対し、「/WEB-INF/libディレクトリ」内の「struts2-core-2.x.x.x.jarファイル」より利用中のバージョンを確認し、アップデートやDMI機能の無効化といった対策を講じるよう呼びかけている。

(Security NEXT - 2016/04/27 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Spring Framework」の脆弱性、2017年の「Struts」脆弱性を想起させる危険度
「Apache Struts 2」の「RESTプラグイン」利用時にDoS攻撃受けるおそれ
「Apache Struts 2」の「RESTプラグイン」に脆弱性 - DoS攻撃受けるおそれ
「Struts 2」に対する脆弱性攻撃が発生 - 3月の攻撃と類似点も
深刻な脆弱性で「Apache Struts 2.3」系もアップデート - 緩和策も
「Apache Struts 2」の公開済み脆弱性、ラックでは攻撃未確認
「Apache Struts 2.5.13」がリリース - 深刻な脆弱性など修正
「Apache Struts 2」の脆弱性、悪用コードが公開済み - 関連機関が注意喚起
「Apache Struts 2」にリモートより攻撃可能な脆弱性 - 「Struts 1 Plugin」利用時に影響
「Struts 2」脆弱性狙うアクセスが継続中 - 当初の暫定対策だけでは危険