「Apache Struts 2.3.29」にあらたな脆弱性 - 次期版で対応予定

Apache Software Foundationが、6月に公開した「Apache Struts 2.3.29」に、一部脆弱性の修正が不十分であるとの見方が出ていたが、別の脆弱性であることが判明した。次期バージョンで修正される見込みだという。

「同2.3.29」では、実証コードが公開された「RESTプラグイン」の脆弱性「CVE-2016-4438」をはじめ、あわせて7件の脆弱性が修正されたが、「Getterメソッド」における検証回避の脆弱性「CVE-2016-4433」については、同バージョンでも任意のコードが実行可能であり、修正が不十分であるとしてJPCERTコーディネーションセンターによる調整が続けられていた。

問題が指摘されていた「CVE-2016-4433」への対応については、「同2.3.29」で修正が完了しているとし、従来の指摘について開発者は、「CVE-2016-4433」に関連した問題が残っているとの認識を示しているという。

その後「同2.3.29」のアップデートとなる「同2.3.30」がリリースされているが、今回明らかとなった脆弱性に関しては、次期バージョンで修正される予定。

（Security NEXT - 2016/08/25 ） ツイート

PR

関連記事

5月下旬以降、「PeopleSoft」にゼロデイ攻撃 - 対策と侵害有無の調査を
Oracle「PeopleSoft」に深刻なRCE脆弱性 - ただちに対応を
「Ivanti Sentry」脆弱性の悪用確認 - PoC公開でリスク増
「Chrome」に今週2度目のセキュ更新 - 脆弱性28件を修正
「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
「Arista EOS」ゼロデイ含む脆弱性3件を悪用リストに追加 - 米当局
「OpenSSL」にセキュリティアップデート - 脆弱性18件を修正
ビデオ会議ツール「Zoom」のモバイルクライアントなどに脆弱性
「Ivanti Sentry」に複数の深刻な脆弱性 - 修正版を公開
Adobe、「Adobe Acrobat Reader」に20件の脆弱性 - アップデートを公開