Apache Struts、Apache Struts 2に深刻な脆弱性を確認
Apache Struts 2に深刻な脆弱性が確認された。影響を受けるのはStruts 2.3.5～Struts 2.3.31及びStruts 2.5～Struts 2.5.10で、ファイルのアップロードやデータ処理に使用されるJakarta Multipartパーサに脆弱性が存在する。この脆弱性が悪用されると、HTTPリクエストのContent-Typeヘッダに攻撃コードを仕込んでWebサーバで実行することが可能で、攻撃者に任意のコードが実行される恐れがある。解決策として、Struts 2.3.32 及びStruts 2.5.10.1が公開されており、アップデートによりこの脆弱性は解消される。既にこの脆弱性を突いた攻撃も確認されているため、早急にアップデートすることが推奨される。
Apache Struts 2に深刻な脆弱性が確認された件で、この脆弱性の回避策としてJakarta Multipart parserからJakartaStreamMultiPartRequestに入れ替えることでこの脆弱性の影響を受けないとしていたが、入れ替えても影響を受けることが判明したため、JakartaStreamMultiPartRequestへの入れ替えではなく、Apache Struts2のアップデートをするよう呼び掛けている。さらに、Content-Typeの処理の問題だけでなく、Content-Disposition及びContent-Lengthヘッダの細工でも任意のコード実行が可能となることが判明したため、改めて、Struts 2.3.32 及びStruts 2.5.10.1にアップデートするよう呼び掛けている。
また、Struts 2.3.32 及びStruts 2.5.10.1にアップデートできないユーザ向けに回避策となるStruts 2-secure-jakarta-multipart-parser-plugin-1.0.jar及びStruts 2-secure-jakarta-multipart-parser-plugin-1.0.jarを公開した。(2017年3月21日追加）
