Apache Struts 1 の脆弱性（CVE-2017-9791）

何が起きた

Apache Struts の Struts 1 プラグインで、利用者が入力した値をそのままエラーメッセージなどの表示（ActionMessage）に使っていると、細工した値でリモートからコードを実行されるおそれがある弱点が見つかりました。CISA は悪用が確認された脆弱性の一覧に載せています。NVD の評価では、離れた場所から、ログインなどの特別な権限なしで攻撃できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache の勧告（S2-048）では、Struts 1 プラグインと Struts 1 のアクションを使っている Struts 2.3.x が対象です。NVD の説明では、Struts 2.1.x と 2.3.x が対象とされています。

何をすればいい

Apache の勧告（S2-048）は、ActionMessage には入力した値をそのまま渡さず、必ずリソースキー（あらかじめ用意したメッセージの名前）を使うよう案内しています。アプリを作った開発者に、Struts 1 プラグインの使い方を確認してもらってください。あわせて Apache の公式の案内を確認してください。

やることチェックリスト

• Struts 1 プラグインを使っているか確かめる
• ActionMessage に入力値をそのまま渡さないようにする
• メッセージはリソースキーで指定するように直す

用語メモ

Apache Struts

Java でウェブアプリを作るための枠組み（フレームワーク）です。

プラグイン

ソフトに機能を付け足すための追加部品です。

リソースキー

表示する文章をあらかじめ別の場所に用意しておき、その文章を呼び出すための名前です。