Apache Struts のリモートコード実行の脆弱性（CVE-2020-17530）

何が起きた

Java でウェブアプリを作るための部品 Apache Struts で、タグの属性に強制的な OGNL 評価を使い、利用者が送った値をそのまま評価している場合に、リモートコード実行のおそれがある弱点が見つかりました。Apache の勧告によると、一部のタグの属性で式が二重に評価されてしまうことが原因です。NVD の評価では、ネットワーク経由で、ログインなしに、利用者の操作なしで悪用できるとされています。CISA は、実際に悪用が確認されたとして KEV に載せています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache の勧告によると、Struts 2.0.0 から Struts 2.5.25 までが影響を受けます。これらのバージョンで作ったウェブアプリを動かしている組織が対象で、特にタグの属性で利用者の入力に強制的な OGNL 評価を使っているアプリが危険です。

何をすればいい

Apache の勧告に従い、Struts 2.5.26 以降に更新してください。あわせて、確かめていない利用者の入力に対して、タグの属性で強制的な OGNL 評価を使わないようにします。Apache は、セキュリティガイドの推奨に従うよう案内しています。最新の対応は公式の案内を確認してください。

やることチェックリスト

• Struts を 2.5.26 以降に更新する
• 利用者の入力に強制的な OGNL 評価を使わないようにする
• Apache のセキュリティガイドに沿って作りを見直す

用語メモ

OGNL

Java のプログラムの中で、文字列で書いた式を読み取って値を取り出したり操作したりするための仕組みです。Struts の内部で使われています。

リモートコード実行

攻撃者が離れた場所から、狙ったコンピューターの上で好きなプログラムを動かせてしまうことです。

KEV

米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。