[B! struts] nobusueのブックマーク

NTTデータ、「TERASOLUNA」向けにApache Struts 1の独自パッチを提供

NTTデータ、「TERASOLUNA」向けにApache Struts 1の独自パッチを提供：無償版向けパッチは準備中 NTTデータは2014年4月28日、オープンソースのWebアプリケーションフレームワーク「Apache Struts 1」について、独自に対策パッチを開発し、「TERASOLUNA Server Framework for Java」を利用しているシステムに対し、順次適用作業を実施していくことを明らかにした。 NTTデータは2014年4月28日、脆弱（ぜいじゃく）性の存在が指摘されていたオープンソースのWebアプリケーションフレームワーク「Apache Struts 1」について、独自に対策パッチを開発したことを明らかにした。同社およびNTTデータグループ会社と保守・維持契約を締結しており、「TERASOLUNA Server Framework for Java」を利用

nobusue 2014/05/01

リンク

Strutsの脆弱性CVE-2014-0094について改めてまとめてみた - piyolog

Struts2においてクラスローダーの操作を許してしまう脆弱性(CVE-2014-0094)について先日調べたのですが、その後のセキュリティベンダの調査により当初に比べて影響範囲が変わってきていることから、再度整理をかねてまとめます。尚、これら情報はpiyokangoが全て検証したわけではないためご注意ください。また当然ながら悪用することは厳禁です。 Apache Software Foundationより、当該脆弱性情報に関するアナウンスが出ました。 24 April 2014 - Struts up to 2.3.16.1: Zero-Day Exploit Mitigation S2-021 クラスローダーが操作される脆弱性の影響範囲 NTT-CERTやMBSD、LACの調査により次のStrutsのバージョンが影響を受けることが判明しています。またBeanUtilsを使ってリクエスト

nobusue 2014/04/29

まとめ

リンク

S2-021 - Apache Struts 2 Wiki - Apache Software Foundation

Probl emThe excluded parameter pattern introduced in version 2.3.16.1 to block access to getClass() method wasn't sufficient. It is possible to omit that with specially crafted requests. Also CookieInterceptor is vulnerable for the same kind of attack when it was configured to accept all cookies (when "*" is used to configure cookiesName param). SolutionIn Struts 2.3.20 improved "class" pattern was

nobusue 2014/04/28

リンク

更新：Apache Struts2 の脆弱性対策について(CVE-2014-0094)(CVE-2014-0112)(CVE-2014-0113)：IPA 独立行政法人情報処理推進機構

HOME情報セキュリティ更新：Apache Struts2 の脆弱性対策について(CVE-2014-0094)(CVE-2014-0112)(CVE-2014-0113) Apache Software Foundation が提供する Apache Struts は、Java のウェブアプリケーションを作成するためのソフトウェアフレームワークです。 Apache Struts 2 には、ClassLoader を操作される脆弱性(CVE-2014-0094 および CVE-2014-0112、CVE-2014-0113)が存在します。本脆弱性が悪用された場合は、ウェブアプリケーションの動作権限内で情報の窃取や特定ファイルの操作、およびウェブアプリケーションを一時的に使用不可にされてしまいます。さらに、攻撃者が操作したファイルに Java コードが含まれている場合、任意のコードが実行され

nobusue 2014/04/28

リンク

Announcements 2022

Edit on GitHub Announcements 2022 28 November 2022 - Apache Struts version 6.1.1 General Availability 15 September 2022 - Apache Struts version 6.0.3 General Availability 06 June 2022 - Struts 2 ver. 6.0.0 General Availability 04 April 2022 - Struts 2.5.30 General Availability 22 January 2022 - Struts 2.5.29 General Availability 02 January 2022 - Struts 2.5.28.3 General Availability Skip to: Annou

nobusue 2014/04/28

リンク

例えば、Strutsを避ける

はじめに筆者は10年以上ウェブアプリケーション開発を主な業務とするJavaプログラマであったにも関わらず、Strutsについてはこれまでずっと食わず嫌いでした。初期のStrutsは「XMLだらけで効率が悪そう」というイメージが強かったためです。最近はRuby on Rails等の影響を受けCoC(convention over configuration)を採り入れ、XML地獄もだいぶ解消したようです。 StrutsはJavaアプリケーションらしくない種類（任意のコード実行等）の脆弱性を連発することでも知られており、最近は我々の提供するSaaS型WAFサービス、Scutum(スキュータム)のお客様からも頻繁にStrutsについての問い合わせを受けるようになりました。また、去年見つかった任意のコード実行の脆弱性では、脆弱性の公表後すぐにPoCが出回り実際に攻撃が発生するなど、悪い意味で注目

nobusue 2014/04/23

リンク

Struts1.xがEOL - R42日記

2014-04-23追記昨今の状況を鑑みるに、新規案件でのStruts2の採用は余りお勧めできないと言わざるを得ません。僕はStruts2およびOGNLのソースコードを実際に読み込んだ上で、自分で危険と判断したところは独自でパッチを当てているため、報告されているような脆弱性に対して、最初から耐えられるようになっています。そもそも、OSSを採用するというのは、そういうことですし。ただし、新規案件でそのような運用を最初から織り込むのは正しい判断とは言えないでしょう。 Struts1.xがEOLになりました。お疲れ様でした。 5年ほど更新が無かったので、やっと正式にEOLかという思いです。さて、国内における一定規模以上のWebシステム構築では、ベンダーお抱えの『フルスタック型Webアプリケーションフレームワーク』を使うことが前提になります。NTTデータ系列ならTerasolunaとか。