Apache Struts 1 の脆弱性（CVE-2006-1547）

何が起きた

Web アプリを作るための部品 Apache Struts 1 の ActionForm に、サービス妨害（DoS）につながる弱点が見つかりました。NVD の説明によると、BeanUtils 1.7 と組み合わせて使っている場合に、攻撃者が特定の名前の項目を含むフォーム（multipart/form-data 形式）を送ると、サービスを止められるおそれがあります。NVD の評価では、離れた場所からログインなしで悪用でき、CISA によると実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、BeanUtils 1.7 と一緒に使われている Apache Struts の 1.2.9 より前の版が対象です。Apache によると、Struts 1 はすでにサポートが終わっており、最後の版は 2008年12月の 1.3.10 です。

何をすればいい

Apache の Struts 1.2.9 のリリースノートによると、1.2.9 は、この問題として記録された不具合（Bug 38534、DoS 攻撃）などのセキュリティの問題を直すために出されました。ただし、Struts 1 自体がサポート終了のため、Apache は保守された状態を前提にしないよう呼びかけています。Struts 1 で作られたアプリは使い続けず、サポートされている仕組みへの置き換えを進めてください。公式の案内を確認してください。

やることチェックリスト

• Struts 1 を使うアプリを洗い出す
• 1.2.9 より前の Struts を使い続けない
• Struts 1 のアプリを別の仕組みに置き換える

用語メモ

サービス妨害（DoS）

システムに負荷や不具合を起こさせて、正しく使えない状態にする攻撃です。

ActionForm

Struts 1 で、Web のフォームから送られた値を受け取るための仕組みです。