Struts2が危険である理由
はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「例えば、Strutsを避ける」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュリティについてざっとまとめてみたいと思います。 なぜJavaなのにリモートからの任意のコード実行(いわゆるRCE)が可能なのか Struts2はJavaアプリケーションであり、Java製のアプリケーションサーバ上で動作します。Javaはいわゆるコンパイル型の言語であるため、通常はランタイムにおいて任意のコードを実行することはできず、RCEは難しいはずです。 JavaのウェブアプリケーションでRCEが成
Apache Struts 2に深刻な脆弱性、国内でも攻撃を観測
Apache Struts 2に深刻な脆弱性、国内でも攻撃を観測：場合によってはリクエストの制限などの回避策を推奨 Apache Software Foundationは米国時間の2013年7月16日、深刻な脆弱性を修正するアップデート「Struts 2.3.15.1」を公開した。 Apache Software Foundationは米国時間の2013年7月16日、Webアプリケーションフレームワーク「Struts 2」の新バージョン「Struts 2.3.15.1」を公開した。深刻な脆弱性を修正するもので、同Foundationは早急なアップデートを推奨している。 Struts 2は、JavaによるWebアプリケーション開発に広く使われているフレームワークで、国内でも多くのサービスが採用している。 今回修正された脆弱性（S2-016）は、Struts 2.0.0から2.3.15までに存
サポート切れ企業に脅威、システム構築ソフト「ストラッツ１」、自社対策へ。 | SECURITY SHOW
ＮＴＴデータなど 企業の情報システムに新たな脅威が迫っている。多くの企業で使われているソフト「ストラッツ１」について、安全上の欠陥（脆弱性）を修正するプログラム「パッチ」の配布が４月に停止したためだ。実害はまだ無いが、専門家は「攻撃者はここぞとばかりに攻撃意欲を高めている」と話す。ＩＴ（情報技術）各社が対応を急いでいる。 ストラッツ１は設計情報が開示されており、自由に改変・再配布ができるオープンソースソフト（ＯＳＳ）。ＯＳＳなため、商用ソフトに比べ低コストでシステム構築できることから、２０００年初頭から企業での採用が増えた。 「複雑だったウェブの開発を簡単にして、一世を風靡したソフト」（ストラッツ１を使う業務ソフトを提供する企業の社長）と高い評価を得た。その後、競合ソフトも開発されたが、まだ相当数の企業がストラッツ１を使っているとみられる。 「パッチ配布が停止した今、使い続ける危険性は非常
civic site Struts開発での考察
＼閉鎖予定のサイトも売れるかも？／ アクセスがないサイトもコンテンツ価値で売れる場合も… ドメインの有効期限を更新してサイト売却にトライしてみましょう
Struts化するRailsって本当か - ひがやすを技術ブログ
良い悪いは置いておくとしてRubyOnRailsはStrutsになるのだなと感じています（エンタープライズ開発でデファクト・スタンダードになって一定のポジションを獲得する） 最近、「RailsはStruts化する」という風に思っている人が多そうなので、私の意見を書いておきます。 そんなことはないでしょう。 エンタープライズ開発をおこなっている多くのSIerは、とても保守的(だと思う)です。Strutsの導入だってとても慎重で、他で結構使われてもう大丈夫と思ったところで導入したというケースが多いのではないでしょうか。 理由は簡単で、規模が大きいと失敗の損失が大きいので、できる限りリスクを避けようとするためです。今特に困ってないなら、冒険する必要はないという判断です。 新たなテクノロジーを導入するのは、リスクがなく生産性が向上すると判断したか、今のテクノロジーではコストがかかり過ぎると判断した
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
