Apache Struts 2（Jakarta Multipart）（CVE-2017-5638）

何が起きた

Webアプリを作るための枠組み「Apache Struts 2」の、ファイルのアップロードを処理する部品（Jakarta Multipartパーサー）に弱点がありました。アップロードの処理中に起きたエラーを正しく扱えず、攻撃者が細工したHTTPヘッダー（Content-Type、Content-Disposition、Content-Length）を送ると、サーバー上で攻撃者が好きに選んだ命令を実行できてしまいます。データによると、2017年3月に、Content-Typeヘッダーを使った実際の攻撃で悪用されていました。KEVでは、ランサムウェアの攻撃に使われたことも確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache Struts 2 のうち、2.3.x で 2.3.32 より前、2.5.x で 2.5.10.1 より前のバージョンを使っているWebサービスが影響を受けます。

何をすればいい

古い事例ですが、今でも 2.3.32 より前（2.3.x）や 2.5.10.1 より前（2.5.x）のStrutsが使われていないか確認してください。見つかった場合は、メーカー（ベンダー）の案内に従って更新し、詳しくはApacheの公式情報を確認してください。

用語メモ

フレームワーク

Webアプリなどを作るときに使う、よく使う機能をまとめた土台となるソフトウェアです。

HTTPヘッダー

Webの通信で、本文とは別に送られる付加情報です。データの種類（Content-Type）などが書かれます。

パーサー

受け取ったデータを読み取って、プログラムが扱える形に分解する部品です。