8月公表の「Apache Struts 2」脆弱性、NVD評価は「クリティカル」

「Apache Struts 2」に脆弱性「CVE-2019-0230」が明らかとなった問題。米国立標準技術研究所（NIST）の脆弱性データベースでは、開発者に比べて脆弱性の重要度が高く評価されており、注意が必要だ。

「CVE-2019-0230」は、開発チームより8月に公表された脆弱性。細工したリクエストにより「OGNL（Object Graph Navigation Library）インジェクション」が可能となる。2019年に公開された「Apache Struts 2.5.22」にて修正されており、バージョン以降は影響を受けない。

開発チームでは、8月に公開したセキュリティアドバイザリで、脆弱性の重要度を4段階中、上から2番目にあたる「重要（Important）」とレーティングし、注意を呼びかけていた。

一方、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、公開されている情報に基づいてアナリストが評価を行ったところ、共通脆弱性評価システム「CVSSv3.1」における同脆弱性のベーススコアを「9.8」と評価。「クリティカル（Critical）」とレーティングしており、開発者の示した重要度とギャップが生まれている。

同時に修正された「CVE-2019-0233」についても、開発者が「中（Medium）」とする一方、NVDでは「CVSSv3.1」のベーススコアを「7.5」、重要度を「高（High）」としており、開発者よりも重要度が高く評価されている。

いずれにしても、これら脆弱性は半年以上前のアップデートで修正されている。利用者はアップデートの実施状況を確認し、早急に対応を行う必要がある。

（Security NEXT - 2020/09/30 ） ツイート

PR

関連記事

「Apache Tomcat」に脆弱性8件 - 「クリティカル」評価の脆弱性も
Android版「Firefox」に暗号関連の脆弱性 - 修正版が公開
「Splunk Enterprise」に複数の脆弱性 - 修正版が公開
「PHP」脆弱性、2024年に兆候把握も修正難航 - 公開前に混乱
「PHP」に2件の深刻なRCE脆弱性 - アップデートを公開
「Node.js」に脆弱性10件 - Brotli圧縮データの処理でRCEのおそれ
HPEの無線LAN向けOSに多数の脆弱性 - クリティカルが33件
侵入検知エンジン「Snort 3」に複数の脆弱性 - Cisco製品にも影響
Ciscoのビデオ会議製品に深刻な脆弱性 - 修正版が公開
「PHP」の深刻なRCE脆弱性「PHP2Shell」 - 悪用試行を観測