【セキュリティ ニュース】「Apache Struts 2.3」系、2019年5月にサポート終了 - 移行の検討を（1ページ目 / 全2ページ）：Security NEXT
ウェブアプリケーションフレームワークである「Apache Struts」の開発チームは、「同2.3」系のサポートを今後6カ月で終了することを明らかにした。 2018年11月14日付で「Apache Struts 2.3系」のサポートライフサイクルにおける「EOL（End Of Life）」をアナウンスしたもの。 サポートを終了するまでの今後6カ月間、脆弱性などセキュリティに影響を与える問題が明らかとなった場合については修正するが、終了後はパッチの提供など含む一切のサポートが提供されなくなる。 またサポート期間中も互換性の関係で対応できないケースが生じる可能性もあるという。
Struts2が危険である理由
はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「例えば、Strutsを避ける」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュリティについてざっとまとめてみたいと思います。 なぜJavaなのにリモートからの任意のコード実行(いわゆるRCE)が可能なのか Struts2はJavaアプリケーションであり、Java製のアプリケーションサーバ上で動作します。Javaはいわゆるコンパイル型の言語であるため、通常はランタイムにおいて任意のコードを実行することはできず、RCEは難しいはずです。 JavaのウェブアプリケーションでRCEが成
Apache Struts2に含まれる深刻な脆弱性「S2-037」について（2016年6月20日）| 株式会社ラック
Apache Struts2に含まれる深刻な脆弱性「S2-037」について 2016年6月20日 | プレス 株式会社ラック（本社：東京都千代田区、代表取締役社長：髙梨 輝彦、以下ラック）は、国内で多数稼動しているWebアプリケーション フレームワーク 「Apache Struts 2」の脆弱性「S2-037」に関して、今後深刻なサイバー攻撃に悪用される可能性があり、対策を強く推奨する情報を公開しました。 Apache Strutsは、Apacheソフトウェア財団のApache Strutsプロジェクトで開発とサポートがおこなわれているオープンソースのJava Webアプリケーションフレームワークで、そのなかでApache Struts 2は、日本国内においても多数のWebサイトで採用されていると考えられます。 Apache Struts 2には、REST プラグインと呼ばれる機能があり、
【セキュリティ ニュース】98％で「Struts 1」が稼働、半数以上がサポート終了したPHPを利用（1ページ目 / 全1ページ）：Security NEXT
サポートが終了したにも関わらず、旧バージョンを利用し続けるケースが目立っている。NRIセキュアテクノロジーズの調査によれば、ウェブアプリケーションの動作に大きく影響するミドルウェアではその傾向が顕著だった。 同社が提供するセキュリティ対策サービスを通じ、2013年度に得られたデータを調査分析し、取りまとめたもの。 ウェブアプリケーションについて診断を実施したところ、安全と診断されたケースは、582件中43％にとどまった。2009年以降改善傾向にあり、前年から6ポイント増となったものの、「危険（28％）」「注意（29％が）」をあわせると半数を超えている。 具体的に発見された脅威を見ると、クロスサイトスクリプティングの脆弱性が最多で調査対象の49％で発見された。「SQLインジェクション（16％）」「なりすまし（12％）」が続く。 また利用するソフトウェアのサポート状況についても調査を実施してい
警察庁、「Struts 2」の脆弱性を狙ったアクセスを検知
図●Apache Struts 2の脆弱性を狙ったアクセスの検知状況（2014年4月25日0時から4月27日8時59分まで。警察庁の発表資料から引用） 警察庁は2014年4月27日、JavaのWebアプリケーションフレームワーク「Apache Struts 2」の脆弱性を狙ったアクセスを検知したとして注意を呼びかけた。 多くのWebサイトで利用されているApache Struts 2には、深刻な脆弱性が見つかっている。細工が施されたリクエストを送信されると、Webサーバーに保存された情報を盗まれたり、悪質なプログラムを実行されたりする恐れがある。 Apache Struts 2については、脆弱性を悪用する攻撃プログラムが出回っているとして、情報処理推進機構（IPA）が4月17日に警告していた（関連記事：Apache Struts 2の脆弱性対策が急務、攻撃プログラムが出回る）。 その時点で
国税庁がStruts脆弱性で確定申告書作成サービス停止、「再開までは手書きで」
国税庁は2014年4月25日、Webサイト上の「確定申告書作成コーナー」など3つのサービスを停止した（画面）。オープンソースのWebアプリケーションフレームワーク「Apache Struts（アパッチ・ストラッツ）」のセキュリティ脆弱性が問題になっており、サイバー攻撃を受けるリスクが高いと判断した。 国税庁が停止したのは「確定申告書作成コーナー」「e-Taxソフト（WEB版）」「NISA（日本版ISA＝少額投資非課税制度）コーナー」の3サービス。脆弱性の影響について関連サイトを調査したところ、この3サービスが「Struts 1」を利用して構築されており、脆弱性の影響を受けることを確認したという。WEB版以外のe-Taxソフトによる電子申告には影響しない。 サービス再開時期は未定だ。「確定申告書作成コーナー」では必要事項を入力するだけで確定申告書を作成できたが、「サービス再開までの間は、国税
Strutsの脆弱性CVE-2014-0094について改めてまとめてみた - piyolog
Struts2においてクラスローダーの操作を許してしまう脆弱性(CVE-2014-0094)について先日調べたのですが、その後のセキュリティベンダの調査により当初に比べて影響範囲が変わってきていることから、再度整理をかねてまとめます。尚、これら情報はpiyokangoが全て検証したわけではないためご注意ください。また当然ながら悪用することは厳禁です。 Apache Software Foundationより、当該脆弱性情報に関するアナウンスが出ました。 24 April 2014 - Struts up to 2.3.16.1: Zero-Day Exploit Mitigation S2-021 クラスローダーが操作される脆弱性の影響範囲 NTT-CERTやMBSD、LACの調査により次のStrutsのバージョンが影響を受けることが判明しています。またBeanUtilsを使ってリクエスト
更新：Apache Struts2 の脆弱性対策について(CVE-2014-0094)(CVE-2014-0112)(CVE-2014-0113)：IPA 独立行政法人 情報処理推進機構
HOME情報セキュリティ更新：Apache Struts2 の脆弱性対策について(CVE-2014-0094)(CVE-2014-0112)(CVE-2014-0113) Apache Software Foundation が提供する Apache Struts は、Java のウェブアプリケーションを作成するためのソフトウェアフレームワークです。 Apache Struts 2 には、ClassLoader を操作される脆弱性(CVE-2014-0094 および CVE-2014-0112、CVE-2014-0113)が存在します。 本脆弱性が悪用された場合は、ウェブアプリケーションの動作権限内で情報の窃取や特定ファイルの操作、およびウェブアプリケーションを一時的に使用不可にされてしまいます。さらに、攻撃者が操作したファイルに Java コードが含まれている場合、任意のコードが実行され
Apache Struts2の脆弱性 “完全修正版”は近日リリース
Apache Software Foundationでは完全修正版リリースまでの回避策の適用を強く推奨している。 Apache Software Foundationは米国時間の4月24日、Java WebアプリケーションフレームワークのApache Struts2の最新版で修正したはずの脆弱性がまだ存在することを確認したと発表した。この脆弱性を“完全に”修正したバージョンは、早ければ米国時間の27日までに公開される見通し。それまでの回避策が紹介されている。 Apache Software Foundationによると、Apache Struts 2.0.0～2.3.16.1にはClassLoaderに起因する脆弱性が存在する。当初、この脆弱性は2.3.16.1で修正されたとしていたが、実際には不十分だったことが、三井物産セキュアディレクションなどの指摘で判明した。 脆弱性が悪用された場合
S2-020類似攻撃のStruts1での対策方法 - Qiita
恐ろしいことですが、実装が全然違うStruts2の脆弱性S2-020と同様の攻撃手法で、Struts1も脆弱性があることが分かりました。 http://www.lac.co.jp/security/alert/2014/04/24_alert_01.html ここではあまり明らかになっていませんが、原因は // Set the corresponding properties of our bean try { BeanUtils.populate(bean, properties); } catch(Exception e) { throw new ServletException("BeanUtils.populate", e); } finally { if (multipartHandler != null) { // Set the multipart request handl
StrutsのClassLoader脆弱性はSAStrutsに影響しません - ひがやすを技術ブログ
Struts2に見つかった脆弱性と同様の脆弱性がStruts1系にも見つかりました。 Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響 HTTP(S)のリクエストでJavaのClassLoaderのメソッドが呼び出せてしまうという脆弱性です。 もう少し噛み砕いて言えば、リクエストのパラメータをJavaBeansにセットする時に、リフレクションを使い、パラメータ名にaaa.bbb.cccのようなネストした名前をサポートしているフレームワークは同様の問題が起こる可能性があります。 パラメータ名をclass.classLoader.xxxのような感じにして、ClassLoaderのメソッドを呼び出す訳です。 このような問題を起こすリフレクションフレームワークで最も有名なのは、Apache Commons BeanUtilsです。リクエストのパラメータ
Apache Struts 2の脆弱性が、サポート終了のApache Struts 1にも影響～国内でいまだ大量稼働するStruts 1利用企業に、直ちに緩和策を～ | セキュリティ対策のラック
更新情報 よく寄せられる質問へのリンクを追加しました。 お客様からお問い合わせをいただきましたので、弊社で検証した環境情報を追記しました。本文中「（2014/04/25追記）」とある部分をご覧ください。 推奨する対策に含まれる正規表現の記載を修正しました。本文中「（2014/04/25修正）」とある部分をご覧ください。 今回の脆弱性を悪用した攻撃を検知しました。 よく寄せられる質問を追加しました。 Struts 2の脆弱性を修正したバージョン2.3.16.2がリリースされたことを追記しました。 新たに割り当てられた共通脆弱性識別子CVEを追記しました。 株式会社ラック サイバー・グリッド研究所は、Apache Struts 2 に存在するとされた、リモートの第三者による任意のコード実行を許す脆弱性(CVE-2014-0094)と同様の問題がApache Struts 1 においても存在して
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
「Apache Struts 1」利用に早急な切り替えを呼びかけ--JVN登録状況（IPA） | ScanNetSecurity