Apache Struts の脆弱性（CVE-2013-2251）

何が起きた

Java の Web アプリを作るための仕組み Apache Struts に、入力の確かめ方が不十分な弱点が見つかりました。依頼の中のパラメータに action:、redirect:、redirectAction: で始まる細工した値を入れると、任意の OGNL の式（攻撃者が好きに選べる命令）を実行される可能性があります。NVD の評価では、離れた場所からログインなしで、利用者の操作もなしに攻撃できます。実際の攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache Struts 2 で作られた Web アプリを運用している組織が対象です。NVD の説明と Apache の勧告 S2-016 では、Struts 2.0.0 から 2.3.15 までが影響を受けます。

何をすればいい

Apache の勧告 S2-016 では、すぐに Struts 2.3.15.1 に更新するよう強く勧めています。2.3.15.1 では action: で始まる値を正しく取り除くように直され、redirect: や redirectAction: の機能は削除されました。2.3.15.1 以降に更新されているか確認してください。あわせてメーカーの公式の案内を確認してください。

やることチェックリスト

• Struts を 2.3.15.1 以降に更新する
• Struts 2.0.0 から 2.3.15 を使うアプリを洗い出す
• redirect: の機能を使う処理を確認する

用語メモ

OGNL

Struts の中で、データを取り出したり操作したりするために使われる式の書き方です。悪用されると命令の実行につながることがあります。

パラメータ

Web ページへの依頼に付けて送る、名前と値の組のことです。