IPA、「Apache Struts2」の脆弱性について注意喚起

情報処理推進機構（IPA）は8月24日、Webアプリケーション作成ツール「Apache Struts2」に存在する脆弱性について注意喚起を発表した。

今回の脆弱性は、
・alwaysSelectFullNamespace を true に設定している
・Struts設定ファイルに、オプションのnamespace属性を指定しないか、ワイルドカードネームスペースを指定する “action”タグまたは “url”タグが含まれている
以上の両者を満たす場合に、リモートで任意のコードが実行される危険がある。

なお、本脆弱性を悪用する攻撃コードが公開されており、実際にLinuxマシンに影響するクリプトジャッキング攻撃に悪用されている事例もあるという。対象となるのは、Apache Struts 2.3 系列 2.3.35 より前のバージョン、および2.5 系列 2.5.17 より前のバージョン（Apache Struts1にも同様の脆弱性が存在するがサポートが打ち切りとなっており利用は推奨されない）。ユーザは直ちに最新版にアップグレードすることが強く推奨される。

（川原 龍人/びぎねっと）

［関連リンク］
注意喚起本文