Apache Struts のリモートコード実行の脆弱性（CVE-2018-11776）

何が起きた

Web アプリを作るための部品 Apache Struts に、攻撃者が外からプログラムを実行できる可能性がある弱点が見つかり、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で、ログイン不要、利用者の操作も不要で攻撃できます。alwaysSelectFullNamespace という設定が有効で、上位の package に namespace（アクションの住所のような区切り）が無いかワイルドカードになっている、などの条件がそろうと起きます。url タグに value や action が設定されていない場合にも、同じことが起こりえます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache Struts を使った Web アプリを運用している組織が対象です。NVD の説明では 2.3 から 2.3.34 と 2.5 から 2.5.16、Apache の勧告（S2-057）では Struts 2.0.4 から 2.3.34 と 2.5.0 から 2.5.16 が影響を受けるとされています。Convention Plugin などのプラグインによって alwaysSelectFullNamespace が有効になっている場合もあります。

何をすればいい

Apache は、Struts 2.3.35 か 2.5.17 以降に更新するよう案内しています。この2つの版はセキュリティの修正だけを含みます。すぐに更新できない場合の一時的な回避策として、すべての package に namespace を設定することなどが示されていますが、Apache は弱い回避策としており、できるだけ早い更新を求めています。公式の案内を確認し、古いバージョンが使われていないか確認してください。

やることチェックリスト

• Struts を 2.3.35 か 2.5.17 以降に更新する
• すべての package に namespace を設定する
• url タグに value か action を設定する

用語メモ

Apache Struts

Java で Web アプリを作るときに使われる、Apache が開発する部品（フレームワーク）です。

namespace

Struts でアクションをまとめる区切りの名前です。URL のどの部分がどの処理に当たるかを決めます。

ワイルドカード

「何でも当てはまる」という意味の記号や設定です。範囲をしぼらないため、思わぬものまで当てはまることがあります。