NTTデータ先端技術が「Apache Struts 2」の脆弱性を検証 - 動作権限の確認を

NTTデータ先端技術は、7月16日に修正された「Apache Struts 2」の脆弱性「CVE-2013-2251」について検証を実施し、レポートを公開した。

問題の脆弱性は、任意のJavaコードが実行可能となる脆弱性。影響を受けるのは、「同2.0.0」から「同2.3.15」で脆弱性を修正した「同2.3.15.1」が公開されている。すでに脆弱性を悪用した攻撃が行われており、国内でも被害が発生している。

同社では、検証環境を用意し、攻撃対象となるサーバへ細工したHTTPリクエストを送信。「Apache Struts 2」を利用したアプリケーション経由で、アプリケーションサーバの動作権限で任意のJavaコードを実行し、外部より不正プログラムをインストールさせ、システムを制御できることを確認した。

管理者権限でアプリケーションサーバを稼働させているケースもあるが、脆弱性が悪用された場合の影響が大きいと同社は問題点を指摘。適切な権限で利用するよう呼びかけている。

（Security NEXT - 2013/07/23 ）ツイート