JavaBeansに対するリフレクションとClassLoader脆弱性 - ひがやすを技術ブログ
今回の問題は、(SA)Strutsだけの問題ではなく、いろんなフレームワークでもちゃんと調べた方が良い話しなので、もう少し詳しく書いておきます。 Javaで、JavaBeansのプロパティにアクセスする場合、 PropertyDescriptor[] descriptors = Introspector.getBeanInfo(クラス).getPropertyDescriptors();で取得できるPropertyDescriptorを使うことがほとんどです。この中に、classプロパティは含まれます。 ここまでは良くて、ネストしたリクエストパラメータ(class.classLoader.xxxなど)をJavaBeansにセットする時に、BeanInfo.getPropertyDescriptors()で取得したものをそのまま使うのが問題なのです。 Seasar2(BeanDesc)では、
StrutsのClassLoader脆弱性はSAStrutsに影響しません - ひがやすを技術ブログ
Struts2に見つかった脆弱性と同様の脆弱性がStruts1系にも見つかりました。 Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響 HTTP(S)のリクエストでJavaのClassLoaderのメソッドが呼び出せてしまうという脆弱性です。 もう少し噛み砕いて言えば、リクエストのパラメータをJavaBeansにセットする時に、リフレクションを使い、パラメータ名にaaa.bbb.cccのようなネストした名前をサポートしているフレームワークは同様の問題が起こる可能性があります。 パラメータ名をclass.classLoader.xxxのような感じにして、ClassLoaderのメソッドを呼び出す訳です。 このような問題を起こすリフレクションフレームワークで最も有名なのは、Apache Commons BeanUtilsです。リクエストのパラメータ
オラクル、Javaセキュリティアップデートをリリース--ユーザーに早急な対処を求める
Oracleは米国時間8月30日、「明確に異なるが関連性のある脆弱性」3件に加え、デスクトップブラウザ上で動作するJavaに関連した別の深刻なセキュリティ脆弱性にパッチを適用することを目的としたアップデートを発表した。 具体的には、何の疑いも持たないユーザーが感染したリリースをブラウザ内で実行し、その後、この脆弱性を利用した悪意のあるウェブページにアクセスした場合、ユーザー名とパスワードの必要なしに、これらのセキュリティホールがネットワーク上で悪用される可能性があるというものだ。 その結果、これらの脆弱性が利用されて、個人データおよびユーザーのシステム全体のアクセス性が悪用される可能性がある。 Oracleでソフトウェアセキュリティ保証担当ディレクターを務めるEric Maurice氏は8月30日付けのブログ投稿で、これらの脆弱性に関連する技術的詳細の多くは既にオンライン上で広く利用可能に
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
