Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache Struts 2」脆弱性、実証コードの検証結果を公表 - JPCERT/CC

「Apache Struts 2」に深刻な脆弱性「CVE-2016-3081」が見つかった問題で、JPCERTコーディネーションセンターは、公開されている実証コードの検証結果を公表した。

問題の脆弱性は「Dynamic Method Invocation(DMI)」を有効化した場合に影響を受けるもので、遠隔より細工したHTTPリクエストを受けると、任意のコードが実行されるおそれがある。

影響を受けるバージョンは、「Apache Struts 2.3.28」から「同2.3.20」。ただし、最新版の「Apache Struts 2.3.28.1」とともに、4月19日に修正版として公開された「Apache Struts 2.3.20.3」および「同2.3.24.3」は含まれない。また「同2.3.15.2」以降では、デフォルトでDMIが無効となっており、有効化していなければ影響を受けない。

今回、JPCERTコーディネーションセンターが公開済みの実証コードについて検証を実施。従来のバージョンで任意のOSコマンドが実行されることを確認。また今回アップデートが公開されたバージョンでは、攻撃が成立しないことを確認したという。結果は以下のとおり。

20160428_jp_001.jpg
JPCERTコーディネーションセンターによる検証結果

(Security NEXT - 2016/04/28 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Apache Struts 2」にRCEなど2件の脆弱性 - 最新版へ更新を
国際金融取引システムの不正送金に北朝鮮「APT38」が関与 - 外交交渉の裏で止まぬ攻撃
対「Struts 2」の脆弱性攻撃が発生、目的はマイニング - さらなる悪用増加に要警戒
「SQLインジェクション」を多数観測 - CMSのDB狙う攻撃も
約6年前のWPプラグイン脆弱性を狙う攻撃が11月に急増 - 攻撃元IPアドレスは3000件超
脆弱ライブラリ同梱した「Apache Struts」、「Webex」などCisco製品にも影響
「Apache Struts」のアップロード機能に深刻な脆弱性 - リモートよりコード実行のおそれ
「Apache Struts 2.3」系、2019年5月にサポート終了 - 移行の検討を
「Struts 2」脆弱性、公開2日後には攻撃発生 - 攻撃者は1週間前から別の攻撃も展開
「Struts 2」脆弱性を狙う攻撃キャンペーン「Bleeding Thunder」 - 国内企業のサイト含む標的リストも