WEB関連 TIPS

Java WEBアプリ開発「Apache Struts2(アパッチ・ストラッツ)」に重大な脆弱性

多少古い情報ではありますが参考までにご覧ください。

いらっしゃいませ。ぶんちょうです。たまにはこんな記事を書いてみたりする。

Java WEBアプリ開発環境 Apache Struts2 に重大な脆弱性【20140430更新

概要

情報処理推進機構(IPA)セキュリティセンターは2014年4月17日、オープンソースのWebアプリケーションフレームワーク「Apache Struts 2」に存在する脆弱性を狙う攻撃コードが公開されていることを踏まえ、緊急対策を呼び掛けています。

Struts2攻撃イメージ(IPAより)

Struts2攻撃イメージ(IPAより)

細工されたリクエストをWebサーバに送りつけることでClassLoaderが不正に操作され、特定のファイルが悪用されたり、情報が流出したりする恐れがあります。さらに、特定のファイルが不正に操作されることによって任意のコードが実行される可能性もあります。

この脆弱性を悪用する攻撃コードは公開されており、IPAで再現検証をしたところ、Webアプリケーションの動作権限内で情報窃取や特定ファイルの操作、また、Webアプリケーションを一時的に使用不可にできることが確認されたそうです。

 

対象(とてもやさしい説明)

Apache Strutsとは、Javaのウェブアプリケーションを作成するための開発環境(ソフトウェアフレームワーク)です。WEBサーバなんかで有名なApache Software Foundation が提供しています。

ぶっちゃけ一般の方には直接関係ありません。サーバ側とか開発環境の問題です。JAVA開発をしないパソコンには普通は入ってませんし、ましてやInternetExplorやChromeといったブラウザに搭載されているものでもありません。

ただし、仕事とかでJavaで作られたシステムをお使いの場合は注意が必要です。それなりに業務量の大きい企業ですと、ブラウザを広げて社内ネットorインターネットに接続するタイプの基幹システム(顧客管理システムとか)をお使いかと。あやしいと思ったらシステム担当者に「大丈夫?」と言ってみて下さい。きっと嫌がられることでしょう。

 

対象(普通な情報)

Apache Struts 1.x / 2.0.0 から 2.3.16.1

バージョン確認方法:Apache Struts 2 を利用しているウェブアプリケーションの /WEB-INF/lib ディレクトリを開き、その中の struts2-core-2.x.x.x.jar ファイルの名称を確認してください。

※サポート対象外となったApache Struts 1.x にも当該脆弱性が確認されています。
※20140428に2.3.16.1への対策漏れが発覚しています。

 

対策方法

対策済みのバージョンである 2.3.16.2へバージョンアップする

http://struts.apache.org/download.cgi

 

回避方法

バージョンアップによる対策が難しい場合はApache Software Foundation が提供する情報をもとに、以下の回避策を適用してください。

設定変更による回避

  • params インターセプターへの参照を独自に記述している場合、excludeParams を適切に設定する
  • defaultStack を使用している場合、 excludeParams を適切に設定したスタックを使用するよう変更する

Announcements
http://struts.apache.org/announce.html

ネットワーク設定変更による回避

本脆弱性に対応したシグネチャを搭載した WAF や IPS 等のネットワーク機器で攻撃リクエストを遮断できる可能性があります。攻撃リクエストの遮断可否については、利用している機器のベンダへお問合せください。

 

備考

ちなみに2013年7月には別の脆弱性(S2-016)が検知され、IPAでも確認されています。攻撃は細工されたHTTPリクエストをApache Struts2上で動作するWebアプリケーションに送信することで、任意のJavaコードが実行される。これによって第三者がリモートから任意のコードを実行できてしまう可能性があるという。この際にはApache Struts 2.3.15.1へのアップデートが推奨されていました。

 

まとめ

こいつを使ったWEBアプリがあるってことは、それなりにクリティカルなデータを扱っていたりで社内手続き的に速攻バージョンアップは難しいでしょうね。とりあえず可能ならIP制限してから改修スケジュール作るのが吉かな?

データ

https://www.ipa.go.jp/security/ciadr/vul/20140417-struts.html

https://www.jpcert.or.jp/at/2013/at130033.html

http://www.lac.co.jp/security/alert/2014/04/24_alert_01.html

 


Amazonレビュー iPad-iPhone スマートフォン

2020/6/1

iPhone/iPad/Android/Mac/Windowsの画面をモニターディスプレイやパソコンへ映し出すミラーリング方法まとめ

iPhoneやiPadシリーズ、あるいはAndroidスマホ・タブレットなどの画面を他の人に見せたいと思ったことはありませんか。また自宅の大型テレビでパソコンの画面を映し出したり、プレゼンなどで会議室の大型ディスプレイやプロジェクターに出力したいと思ったことはありませんか? これら携帯端末やパソコンの画面を大きな家庭用テレビや大型PCディスプレイに映し出すことをミラーリングと言いますが、端末やコネクタージャックの種類、無線か有線かによっても方法が異なり、それぞれメリット・デメリットが存在します。 ネット検 …

続きを読む

Amazonレビュー iPad-iPhone スマートフォン

2020/5/6

PUBGモバイルなどのゲームと、Discordなどのボイスチャットアプリを併用する方法が分かったよ

音声ミキサーやパソコンを使わずに、PUBGモバイルの音を聞きながらDiscordなどのボイスチャットアプリで仲間と話せる方法をご紹介します。その解決方法は、意外なイヤホンを使うというものでした。 PUBGモバイルが楽しすぎて5シーズン連続でエースランクを取り続け、次シーズンこそ征服者になってみようと頑張っていますが、一つだけ悩みがありました。それはPUBGモバイルとDiscordを併用すると、PUBGモバイルの音声がモノラルで聞こえてしまうことでした。

続きを読む

ハードウェア Amazonレビュー iPad-iPhone オーディオビジュアル スマートフォン ナイスアイテム ライフハック

2020/2/26

バイクヘルメットに簡単取り付けでき、音楽が聴けるBluetooth5.0対応ヘッドセットを試してみたレビュー話

バイクを改造せずに音楽を楽しむ方法をご紹介します。以前書いた記事では、バイク用ヘルメットにBluetoothヘッドセットを仕込み、通話ではなく音楽を楽しむ方法をご紹介してました。ややニッチなネタではありましたが大変好評を頂きました。 今回はBluetooth5.0対応のバイク用ヘッドセットを購入しまして、実際に使ってみましたので前モデルとの違いなどを交えてレビューさせて頂きます。

続きを読む

ハードウェア iPad-iPhone mac スマートフォン

2020/2/11

Apple iPadがワイヤレス外部ディスプレイになってミラーリングも出来ちゃうMacOS標準機能Sidecarが凄すぎる件

MacOS X 10.15.x Catalina(カタリナ)以降を搭載したMacと、最新のiPad OSを搭載したiPadシリーズがあると、MacOS標準機能であるSidecar(サイドカー)を使用することができます。 Sidecarは、AirPlayディスプレイ機能を使ってiPadを外部モニターとして使用可能にする機能です。有線接続でも無線でも使用することができます。 Catalinaは不具合が多いと言われていて、アップデートを躊躇していたのですが、Sidecarを使ってみたら禿げ上がるほど便利だったの …

続きを読む

ハードウェア Amazonレビュー iPad-iPhone オーディオビジュアル スマートフォン

2019/12/20

Appleの最新ワイヤレスイヤホンAirPods Proを買ったから使用感レビューと、iPhone・iPad・Macbook・Androidの切り替え方法だよ

この記事では、Appleから発売されたBluetoothワイヤレスイヤホン「AirPods Pro」の音質・使用感レビューとともに、ペアリング方法やiPhone・iPad・Macbook・Androidスマホとの兼用するための切り替え方法をご紹介します。 そもそもApple製品ではないAndroidスマホ・タブレットでもAirPods Proは使えるのでしょうか。たぶんできるだろうと何も調べず買ってしまったわけですが、結論から言うと可能でした。 今のご時世、複数の携帯端末をお持ちの方も多いと思いますので是 …

続きを読む

オニオン座のオススメ記事

1

この記事では、Amazonプライム会員になるメリットとデメリットを整理してご紹介します。配送料無料やAmazonビデオ、Amazonミュージックなどのサービスははたして会費に見合うものなのでしょうか。 …

2

先日、スマホで使えるAudible (オーディブル)というオーディオブックサービスが1ヶ月無料という情報を聞いたので、実際に申し込んで本を購入してみました。ついでに解約方法も確認しておきました。 新型 …

3

Fire TV Stick 4Kを購入して幸せになった私が、調子に乗ってFire HDタブレットを初めて買ってみましたのでレビューしたいと思います。Fire HD8の使い勝手だけでなく、iPadとの比 …

-WEB関連, TIPS
-, ,

Copy Protected by Chetan's WP-Copyprotect.

© 2020 パパママ世代応援ブログ:オニオン座