情報処理推進機構（IPA）は8月24日、Webアプリケーション作成ツール「Apache Struts2」に存在する脆弱性について注意喚起を発表した。
今回の脆弱性は、
・alwaysSelectFullNamespace を true に設定している
・Struts設定ファイルに、オプションのnamespace属性を指定しないか、ワイルドカードネームスペースを指定する “action”タグまたは “url”タグが含まれている
以上の両者を満たす場合に、リモートで任意のコードが実行される危険がある。
なお、本脆弱性を悪用する攻撃コードが公開されており、実際にLinuxマシンに影響するクリプトジャッキング攻撃に悪用されている事例もあるという。対象となるのは、Apache Struts 2.3 系列 2.3.35 より前のバージョン、および2.5 系列 2.5.17 より前のバージョン（Apache Struts1にも同様の脆弱性が存在するがサポートが打ち切りとなっており利用は推奨されない）。ユーザは直ちに最新版にアップグレードすることが強く推奨される。
（川原 龍人/びぎねっと）
［関連リンク］
注意喚起本文
この記事をシェアしてください
この記事の筆者
関連記事
情報処理推進機構、「Java」に関する脆弱性に関する注意喚起を発表、攻撃された場合の影響が大
2022年10月22日 2:24
「Apache Struts 2」に重大な脆弱性、アップデートが強く推奨
2018年8月24日 9:59
JPCERT/CC、NTTドコモのLG製Wi-Fi STATIONの脆弱性に関する注意喚起を発表
2017年9月13日 0:22
マイクロソフト2月のセキュリティ更新にて「緊急」の脆弱性を含む多数の更新
2018年2月19日 0:25
US-CERT、PHPに存在する脆弱性についての注意喚起を発表
2019年11月2日 1:31
Linux 5.1.17以前にローカルユーザの権限昇格の脆弱性
2019年7月21日 22:51
Think ITでは、技術情報が詰まったメールマガジン「Think IT Weekly」の配信サービスを提供しています。メルマガ会員登録を済ませれば、メルマガだけでなく、さまざまな限定特典を入手できるようになります。
