Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache Struts2」に深刻な脆弱性 - 実証コードが公開、ブラウザから攻撃可能

20140417_ap_001.jpg

ウェブアプリケーションのフレームワークである「Apache Struts 2」に深刻な脆弱性が見つかった。すでに実証コードが公開されており、容易に攻撃が可能であるため、非常に危険な状況だ。

「同2.3.16」に、「ClassLoader」を操作される脆弱性「CVE-2014-0094」が明らかとなったもの。同バージョン以前も影響を受ける。

今回の脆弱性について、NTT-CERTから情報提供を受けた情報処理推進機構(IPA)では、脆弱性を検証。情報の窃取や特定ファイルの操作、ウェブアプリケーションを使用不可にできることを確認できたとして、注意喚起を開始した。

また脆弱性の動向に詳しいソフトバンク・テクノロジー技術統括プラットフォーム&データソリューション本部のシニアセキュリティエバンジェリストである辻伸弘氏は、すでに中国国内のサイトで脆弱性の実証コードが公開されていると状況を説明。

さらに同氏は、同脆弱性によって攻撃対象となるサーバから制御を奪えることを、検証環境で確認したという。同氏は、「すべてのブラウザのロケーションバーから攻撃が可能」と指摘。脆弱性を容易に悪用できる状態であるとして、警鐘を鳴らしている。

今回の脆弱性を受け、同ソフトを提供するApache Software Foundationでは、脆弱性を修正した最新版「同2.3.16.1」を公開。アップデートを強く推奨している。

(Security NEXT - 2014/04/17 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Apache Tomcat」に脆弱性、2月の更新で修正済み - 「同8.5」系統は3月末にEOL
Arubaのアクセス制御製品に複数脆弱性 - アップデートで修正
ワークフロー管理の「Apache DolphinScheduler」に脆弱性
「Apache Tomcat」にアップデート - 「同8.5.x」は3月31日にサポート終了
「Progress Application Server for OpenEdge」に脆弱性
「環境変数ファイル」など狙うマルウェア「Androxgh0st」
BIツール「Apache Superset」にXSS脆弱性が判明
「Apache Tomcat」に情報漏洩の脆弱性 - 2021年3月に修正済み
脆弱性6件に対する攻撃に注意を喚起 - 米当局
「Apache InLong」に複数の脆弱性 - アップデートを