「Apache Struts」にDoS脆弱性 - メモリ枯渇のおそれ

ウェブアプリケーションフレームワーク「Apache Struts」にサービス拒否の脆弱性が明らかとなった。アップデートが提供されている。

認証なしでリモートよりサービス拒否を引き起こすことが可能となる脆弱性「CVE-2026-73635」が明らかとなったもの。開発チームでは重要度を「中（Moderate）」とレーティングしている。

ローカライズされたメッセージの処理にあたり、内部キャッシュを際限なく利用することに起因。リクエスト由来のロケールによってヒープ領域の枯渇が引き起こされるおそれがある。

JVNでは、共通脆弱性評価システム「CVSSv4.0」のベーススコアを「8.7」、「CVSSv3.0」では「7.5」と評価。重要度は「高（High）」相当にあたる。設定でロケールを固定している環境は脆弱性の影響を受けない。

同脆弱性は、野口晋義氏が情報処理推進機構（IPA）へ報告したもので、JPCERTコーディネーションセンターが調整を行った。

開発チームでは、キャッシュサイズに制限を設け、最大値を設定できる「同7.3.0」「同6.11.0」をリリース。「同2.5.33」「同2.3.37」および以前のバージョンも影響を受けるが、サポートが終了しており修正予定はないとしている。

（Security NEXT - 2026/08/25 ）ツイート