Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「S2Struts」にApache Struts1の脆弱性 - 修正版が公開

Seasarファウンデーションが提供するウェブアプリケーションフレームワーク「S2Struts」に、リモートから攻撃が可能となる脆弱性が含まれていることがわかった。

今回明らかとなった「CVE-2014-3893」は、ClassLoaderが操作可能となる脆弱性。悪用されると、遠隔からコードを実行されたり、情報漏洩が発生するおそれがある。

同ソフトでは、「CVE-2014-0114」が存在するApache Strutsを使用していたため、「同1.3.1」「同1.2.12」および以前のバージョンについても影響を受ける。

問題の脆弱性は、もともとApache Struts 2で判明。さらにサポートが終了している「Apache Struts 1.x」にも脆弱性が含まれるとして「CVE-2014-0114」が割り当てられていた。

今回の脆弱性は、サイボウズが情報処理推進機構(IPA)へ報告。修正にあたりJPCERTコーディネーションセンターが調整。Seasarファウンデーションでは、脆弱性を解消した「同1.3.2」「同1.2.13」を公開している。

(Security NEXT - 2014/07/16 ) このエントリーをはてなブックマークに追加

PR

関連記事

「FortiWeb」の深刻な脆弱性、詳細やPoCが公開
画像処理ライブラリ「ImageMagick」に脆弱性 - アップデートが公開
「Wing FTP Server」狙う脆弱性攻撃に注意 - 詳細公表翌日より発生
「HPE Networking Instant On」のアクセスポイントに深刻な脆弱性
「FortiWeb」に認証不要でコマンド実行が可能となるSQLi脆弱性
「Kubernetes」向けパッケージ管理ツール「Helm」に脆弱性
Appleの開発者向けアプリに情報漏洩の脆弱性 - 最新版で修正済み
「Apache httpd」にSSRFやセッションハイジャックなど複数脆弱性
「Apache Tomcat」にアップデート - 複数脆弱性を修正
SAP、月例アドバイザリ31件を公開 - 「クリティカル」6件