Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache Struts2」に深刻な脆弱性 - 実証コードが公開、ブラウザから攻撃可能

20140417_ap_001.jpg

ウェブアプリケーションのフレームワークである「Apache Struts 2」に深刻な脆弱性が見つかった。すでに実証コードが公開されており、容易に攻撃が可能であるため、非常に危険な状況だ。

「同2.3.16」に、「ClassLoader」を操作される脆弱性「CVE-2014-0094」が明らかとなったもの。同バージョン以前も影響を受ける。

今回の脆弱性について、NTT-CERTから情報提供を受けた情報処理推進機構(IPA)では、脆弱性を検証。情報の窃取や特定ファイルの操作、ウェブアプリケーションを使用不可にできることを確認できたとして、注意喚起を開始した。

また脆弱性の動向に詳しいソフトバンク・テクノロジー技術統括プラットフォーム&データソリューション本部のシニアセキュリティエバンジェリストである辻伸弘氏は、すでに中国国内のサイトで脆弱性の実証コードが公開されていると状況を説明。

さらに同氏は、同脆弱性によって攻撃対象となるサーバから制御を奪えることを、検証環境で確認したという。同氏は、「すべてのブラウザのロケーションバーから攻撃が可能」と指摘。脆弱性を容易に悪用できる状態であるとして、警鐘を鳴らしている。

今回の脆弱性を受け、同ソフトを提供するApache Software Foundationでは、脆弱性を修正した最新版「同2.3.16.1」を公開。アップデートを強く推奨している。

(Security NEXT - 2014/04/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Apache Tomcat」にソースコード漏洩のおそれ - 11月更新版で修正済み
「Apache Struts 2」RCE脆弱性に悪用報告 - 早急に対処を
「Apache Cordova」向けカメラプラグインに情報漏洩のおそれ
「Apache Struts 2」にRCE脆弱性が判明 - アップデートがリリース
「Apache Tomcat」に情報漏洩のおそれ - 11月17日の更新で修正済み
VirusTotalがIoTマルウェア分類ハッシュ関数「telfhash」を採用
監視ツール「Nagios XI」に複数脆弱性、アップデートを - PoC公開済み
「Apache Tomcat」に情報漏洩の脆弱性 - 更新を
NECのソフトェアWAFに脆弱性 - 権限昇格に悪用されるおそれ
8月公表の「Apache Struts 2」脆弱性、NVD評価は「クリティカル」