6月公開の「Apache Struts 2.3.29」、一部脆弱性の修正が不十分
Apache Software Foundationが、複数の脆弱性を修正、6月に公開した「Apache Struts 2.3.29」において、一部脆弱性への対応が不十分であることがわかった。
「同2.3.29」では、実証コードが公開された「RESTプラグイン」の脆弱性「CVE-2016-4438」をはじめ、あわせて7件の脆弱性に対処。GA（General Availability）版としてリリースしている。
脆弱性情報のポータルサイトであるJVNによれば、同リリースに関して、報告を行った三井物産セキュアディレクションの寺田健氏や、JPCERTコーディネーションセンターが検証したところ、「Getterメソッド」における検証回避の脆弱性「CVE-2016-4433」については、修正が不十分であることが判明したという。
脆弱性を悪用することで任意のコードが実行可能な状態であり、脆弱性の修正に向けて現在、調整が進められているという。
（Security NEXT - 2016/07/01 ）
ツイート
関連リンク
PR
関連記事
脆弱性「Dirty Frag」が製品に与える影響を調査 - Fortinet
「Cisco Catalyst SD-WAN Manager」にゼロデイ脆弱性 - 悪用も確認
「Progress Kemp LoadMaster」にRCE脆弱性 - WAF回避のおそれも
「MOVEit WAF」に検知回避の深刻な脆弱性 - 早急な対策を
「Chrome」最新版で脆弱性429件を修正 - クリティカルは22件
「OpenStack Mistral」に脆弱性 - API認証ユーザーがコード実行可能
「Chrome 149」がリリース - セキュリティ情報は近日公開
「MLflow」にアクセスキーなど機密情報が流出する深刻な脆弱性
米当局、脆弱性3件を悪用カタログに追加 - 早期対応求める
「Cisco Unified CM」にクリティカル脆弱性 - 実証コードが公開済み
