2013-07-24 Apache Struts 2 CVE-2013-2251 任意のコードが実行される脆弱性
提供: セキュリティ
スポンサーリンク
Webアプリケーション構築のフレームワーク Apache Struts 2 の 脆弱性(S2-016) CVE-2013-2251 は、 HTTPリクエスト で任意の Java コードを実行され、 任意の OSコマンド や不正なプログラムをリモートから実行される可能性があります。
概要
Webアプリケーション構築のフレームワーク Apache Struts 2 の 脆弱性(S2-016) CVE-2013-2251 は、 HTTPリクエスト で任意の Java コードを実行され、 任意の OS コマンド や不正なプログラムをリモートから実行される可能性があります。
Apache Struts において、サーバ上で任意のコマンドが実行される脆弱性(JVN#33504150)も存在します。 S2-016 の脆弱性と同じものです。
影響を受けるバージョン
- Apache Struts 2.0.0 - 2.3.15
攻撃状況の確認
- action:
- redirect:
- redirectAction:
対応方法
- Apache Struts 2.3.15.1 へアップデートする
アップデート以外の暫定的な回避策
- 攻撃には action:, redirect: , redirectAction: のパラメータが利用されるため、これを制限します。
- パラメータのホワイトリスト化を行う
- リクエストサイズを400バイト未満、可能な限り、小さくすることで、攻撃を緩和できる
- IPS 製品で攻撃を遮断する
関連項目
- セキュリティニュース
- 情報漏えい
- JVN#33504150 Apache Struts において任意のコマンドを実行される脆弱性
ツイート
スポンサーリンク