Struts1の脆弱性(CVE2014-0094)の回避策いろいろ - てきとうなメモ
回避策をいろいろ見かけるようになったのでちょっとまとめる サーブレットのFilterでフィルタ Protect your Struts1 applications - HP Enterprise Business Community FilterでStrutsにリクエストが来る前にclassを含むクエリパラメタをエラーにしてしまう。 リンク先のコードだとマルチパートリクエストに対応できていない。マルチパートリクエストに対応することは可能だが、Strutsのコードの外なのでStrutsのコードが変更されるとうまくいかなくなるかもしれない StrutsのRequestUtilsにパッチをあてる CVE2014-0094のStruts1のパッチ - てきとうなメモ RequestUtilsでbeanutilsを利用している直前にclass等を含むクエリパラメタを無視するようにしている。 マルチパ
Struts1の脆弱性問題の対処方法 - エンタープライズギークス (Enterprise Geeks)
Apache Struts 1の脆弱性問題の対処方法を紹介する。 この問題は、4月24日に株式会社ラックによって以下のように報告された。 http://www.lac.co.jp/security/alert/2014/04/24_alert_01.html ServletFilterによる対処では、multipart/form-dataに対応できない。 上記報告に記載されている 不正な文字列がパラメータに含まれる場合（正規表現：「(^|\W)[cC]lass\W」に合致するパラメータ名が含まれる場合等）にリクエストを拒否するフィルタ機能を実装する という方法は、リスク軽減策としては有効だ。 しかし残念ながら、ServletFilterで対応するこの方法では enctype="multipart/form-data" であるサブミット情報が来た場合は防ぐことができない。 問題の本質 Str
警察庁、「Struts 2」の脆弱性を狙ったアクセスを検知
図●Apache Struts 2の脆弱性を狙ったアクセスの検知状況（2014年4月25日0時から4月27日8時59分まで。警察庁の発表資料から引用） 警察庁は2014年4月27日、JavaのWebアプリケーションフレームワーク「Apache Struts 2」の脆弱性を狙ったアクセスを検知したとして注意を呼びかけた。 多くのWebサイトで利用されているApache Struts 2には、深刻な脆弱性が見つかっている。細工が施されたリクエストを送信されると、Webサーバーに保存された情報を盗まれたり、悪質なプログラムを実行されたりする恐れがある。 Apache Struts 2については、脆弱性を悪用する攻撃プログラムが出回っているとして、情報処理推進機構（IPA）が4月17日に警告していた（関連記事：Apache Struts 2の脆弱性対策が急務、攻撃プログラムが出回る）。 その時点で
Strutsの脆弱性CVE-2014-0094について改めてまとめてみた - piyolog
Struts2においてクラスローダーの操作を許してしまう脆弱性(CVE-2014-0094)について先日調べたのですが、その後のセキュリティベンダの調査により当初に比べて影響範囲が変わってきていることから、再度整理をかねてまとめます。尚、これら情報はpiyokangoが全て検証したわけではないためご注意ください。また当然ながら悪用することは厳禁です。 Apache Software Foundationより、当該脆弱性情報に関するアナウンスが出ました。 24 April 2014 - Struts up to 2.3.16.1: Zero-Day Exploit Mitigation S2-021 クラスローダーが操作される脆弱性の影響範囲 NTT-CERTやMBSD、LACの調査により次のStrutsのバージョンが影響を受けることが判明しています。またBeanUtilsを使ってリクエスト
Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響～国内でいまだ大量稼働するStruts 1利用企業に、直ちに緩和策を～ | セキュリティ対策のラック
更新情報 よく寄せられる質問へのリンクを追加しました。 お客様からお問い合わせをいただきましたので、弊社で検証した環境情報を追記しました。本文中「（2014/04/25追記）」とある部分をご覧ください。 推奨する対策に含まれる正規表現の記載を修正しました。本文中「（2014/04/25修正）」とある部分をご覧ください。 今回の脆弱性を悪用した攻撃を検知しました。 よく寄せられる質問を追加しました。 Struts 2の脆弱性を修正したバージョン2.3.16.2がリリースされたことを追記しました。 新たに割り当てられた共通脆弱性識別子CVEを追記しました。 株式会社ラック サイバー・グリッド研究所は、Apache Struts 2 に存在するとされた、リモートの第三者による任意のコード実行を許す脆弱性(CVE-2014-0094)と同様の問題がApache Struts 1 においても存在して
StrutsのActionをMockitoを使ってUnitTestする #javaadventja2010
このエントリは Java Advent Calendar -ja 2010 : ATND の 5日目のものです。 やぁ、みなさんStruts使ってますか！最近「いつまでStruts1を使い続けるの？ - 達人プログラマーを目指して」とか「Strutsの終焉: プログラマの思索」とかで、何かと話題のStruts1ですが、もろもろの事情で使わなければいけないことって多いですよね？ね！ で、仕方なく使わざるを得ないStrutsですが、ActionのexecuteメソッドがそのままだとJUnitなんかでUnitTest(できない|できても大変)で困ります。 そんな時は、Mockを使ってテストしましょう！今回はMockitoを使います。 こんなActionがあったとして。 package com.example.masaru.action; import javax.servlet.http.Htt
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Struts1脆弱性の検証 [S2-020]![Struts1脆弱性の検証 [S2-020]](https://cdn-ak-scissors.b.st-hatena.com/image/square/1ef26f6cb4349557952890dbe3e567f7f98dc151/height=288;version=1;width=512/https%3A%2F%2Fgithub.githubassets.com%2Fassets%2Fgist-og-image-54fd7dc0713e.png)
27996.html