「Apache Struts2」に深刻な脆弱性 - 実証コードが公開、ブラウザから攻撃可能

ウェブアプリケーションのフレームワークである「Apache Struts 2」に深刻な脆弱性が見つかった。すでに実証コードが公開されており、容易に攻撃が可能であるため、非常に危険な状況だ。

「同2.3.16」に、「ClassLoader」を操作される脆弱性「CVE-2014-0094」が明らかとなったもの。同バージョン以前も影響を受ける。

今回の脆弱性について、NTT-CERTから情報提供を受けた情報処理推進機構（IPA）では、脆弱性を検証。情報の窃取や特定ファイルの操作、ウェブアプリケーションを使用不可にできることを確認できたとして、注意喚起を開始した。

また脆弱性の動向に詳しいソフトバンク・テクノロジー技術統括プラットフォーム＆データソリューション本部のシニアセキュリティエバンジェリストである辻伸弘氏は、すでに中国国内のサイトで脆弱性の実証コードが公開されていると状況を説明。

さらに同氏は、同脆弱性によって攻撃対象となるサーバから制御を奪えることを、検証環境で確認したという。同氏は、「すべてのブラウザのロケーションバーから攻撃が可能」と指摘。脆弱性を容易に悪用できる状態であるとして、警鐘を鳴らしている。

今回の脆弱性を受け、同ソフトを提供するApache Software Foundationでは、脆弱性を修正した最新版「同2.3.16.1」を公開。アップデートを強く推奨している。

（Security NEXT - 2014/04/17 ）ツイート