S2-020類似攻撃のStruts1での対策方法 - Qiita

// Set the corresponding properties of our bean try { BeanUtils.populate(bean, properties); } catch(Exception e) { throw new ServletException("BeanUtils.populate", e); } finally { if (multipartHandler != null) { // Set the multipart request handler for our ActionForm. // If the bean isn't an ActionForm, an exception would have been // thrown earlier, so it's safe to assume that our bean is // in f

[iww]

SafeResolver.java

[tengaar]

今回見つかった脆弱性への対策は、これでよい模様。今後新たな脆弱性が見つかった場合のリスクを踏まえ、システム改修について提案できるようにしたい

[ockeghem]

『現時点で世に出回っているFilterによる暫定対応は、multipart/form-dataのPOSTに対して無力です…私はこの対処法を強く支持します』

[smbd]

ア カ ン

[YaSuYuKi]

古いシステムだと、どこかで独自に似たことをしている可能性があるので、再確認が必要たな

[vvakame]

よく読もう…使ってないけど俺も影響受けるかもわからん

[hogege]

φ(.. )

[rryu]

同じようなものには同じような脆弱性が発生すると。

[syokudoguy]

BeanUtilsのResollverによる対応とRequestProcessorの修正による対応