「Apache Struts」に深刻な脆弱性 - リモートよりコード実行のおそれ

「Apache Struts」に深刻な脆弱性が明らかとなった。開発チームでは、「同6.4.0」以降を利用するよう注意を呼びかけている。

11月26日に公開したアドバイザリにおいて、ファイルのアップロード機能に起因するパストラバーサルの脆弱性「CVE-2024-53677」について明らかにしたもの。

悪意あるファイルがアップロードされ、リモートよりコードを実行されるおそれがある。2023年12月のアドバイザリで言及された「CVE-2023-50164」と同様の問題だという。

「同6.3.0.2」「同2.5.33」および以前のバージョンが影響を受ける。サポートが終了している「同2.3.37」および以前のバージョンも対象。ただし、「FileUploadInterceptor」を利用していないアプリケーションは脆弱性の影響を受けない。

共通脆弱性評価システム「CVSSv4.0」のベーススコアを「9.5」と評価。重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングした。

脆弱性の回避策はなく、開発チームでは現地時間4月19日に公開した「同6.4.0」以降に更新し、あたらしいアップロード機能を利用するよう呼びかけている。

（Security NEXT - 2024/12/12 ）ツイート