「Apache Struts 2」に深刻な脆弱性 - 一部実証コードが公開済み
ウェブアプリケーションのフレームワークである「Apache Struts 2」に、任意のコードが実行される脆弱性「CVE-2016-3081」など複数の脆弱性が含まれていることがわかった。脆弱性を修正したアップデートが提供されている。

Apache Struts
「Apache Struts 2」において、「Dynamic Method Invocation(DMI)」を有効化している場合にリモートより任意のコードを実行されるおそれがある脆弱性「CVE-2016-3081」が判明したもの。すでに実証コード「PoC」が公開されているという。
影響を受けるバージョンは、「Apache Struts 2.3.28」から「同2.3.20」。ただし、4月19日に修正版として公開された「Apache Struts 2.3.20.3」および「同2.3.24.3」は影響を受けない。
またこれ以外にも「XSLTResult」に関する脆弱性「CVE-2016-3082」や、一部バージョンで未修正となっていた脆弱性「CVE-2016-0785」なども対処された。
Apache Struts projectでは、脆弱性を修正した「同2.3.20.3」「同2.3.24.3」「同2.3.28.1」を公開。セキュリティ機関などもアップデートを呼びかけている。
(Security NEXT - 2016/04/27 )
ツイート
関連リンク
PR
関連記事
「Apache Struts」にサービス拒否の脆弱性 - 修正版が公開
「Apache Struts」にサービス拒否の脆弱性 - アップデートが公開
「Apache Struts 2」に脆弱性 - 悪用観測ある既知脆弱性の対処不十分で
「Apache Struts 2」RCE脆弱性に悪用報告 - 早急に対処を
「Apache Struts 2」にRCE脆弱性が判明 - アップデートがリリース
8月公表の「Apache Struts 2」脆弱性、NVD評価は「クリティカル」
「Apache Struts 2」にRCEなど2件の脆弱性 - 最新版へ更新を
国際金融取引システムの不正送金に北朝鮮「APT38」が関与 - 外交交渉の裏で止まぬ攻撃
対「Struts 2」の脆弱性攻撃が発生、目的はマイニング - さらなる悪用増加に要警戒
「SQLインジェクション」を多数観測 - CMSのDB狙う攻撃も