S2-020類似攻撃のStruts1での対策方法 - Qiita

恐ろしいことですが、実装が全然違うStruts2の脆弱性S2-020と同様の攻撃手法で、Struts1も脆弱性があることが分かりました。 http://www.lac.co.jp/security/alert/2014/04/24_alert_01.html ここではあまり明らかになっていませんが、原因は // Set the corresponding properties of our bean try { BeanUtils.populate(bean, properties); } catch(Exception e) { throw new ServletException("BeanUtils.populate", e); } finally { if (multipartHandler != null) { // Set the multipart request handl

[iww]

SafeResolver.java

[tengaar]

今回見つかった脆弱性への対策は、これでよい模様。今後新たな脆弱性が見つかった場合のリスクを踏まえ、システム改修について提案できるようにしたい

[ockeghem]

『現時点で世に出回っているFilterによる暫定対応は、multipart/form-dataのPOSTに対して無力です…私はこの対処法を強く支持します』

[smbd]

ア カ ン

[YaSuYuKi]

古いシステムだと、どこかで独自に似たことをしている可能性があるので、再確認が必要たな

[vvakame]

よく読もう…使ってないけど俺も影響受けるかもわからん

[hogege]

φ(.. )

[rryu]

同じようなものには同じような脆弱性が発生すると。

[syokudoguy]

BeanUtilsのResollverによる対応とRequestProcessorの修正による対応