株式会社ラック

トップレベルのセキュリティ技術を駆使した
ITトータルソリューションで、未来をきり拓く

セキュリティ事故発生時はこちら
閉じる

ご相談は予約不要、24時間対応

緊急対応窓口:サイバー救急センター®

セキュリティに係るお客様の緊急事態に際し迅速にお客様をご支援する緊急対応サービスです。
緊急事態が発生したら今すぐ「サイバー救急センター」にご相談ください。

電話で相談する

メールで相談する

サイバー救急センター®のメールアドレス

ご相談は予約不要、24時間対応

緊急対応窓口:サイバー救急センター®

セキュリティ事故発生時はすぐにご連絡ください

LAC WATCH
2017年09月06日 | 注意喚起

Apache Struts 2における脆弱性 (S2-052、CVE-2017-9805)は悪用可能と確認

9月5日に Apache Struts より公開された脆弱性 S2-052 に関して、悪用できることを確認しました。Apache Struts2 をご利用の場合は至急ご確認ください。

JSOCシニアアナリストの山坂です。

3月にも Apache Struts の脆弱性が公開*1され、多数の攻撃が観測されたことはまだ記憶に新しいところではありますが、再び危険度の高い脆弱性が公開されました。今回の脆弱性については、RESTプラグインを使用している環境下において影響を受けます。ご利用の環境において Struts が利用されていないか、至急ご確認ください。

既に攻撃コードが公開されており、中国のWebサイトでは URL を入力するだけで脆弱性の有無をチェックするサイトも登場しています。9月6日17:00時点において JSOCにおける検知はまだありませんが、今後この脆弱性を狙った攻撃が広く行われる可能性があります。

脆弱性の有無をチェックするサイトのスクリーンショット

影響を受けるバージョン

Struts 2.1.2 - Struts 2.3.33
Struts 2.5 - Struts 2.5.12

  • Struts 1については REST プラグインが存在しないため、本脆弱性の影響を受けないと考えられます。

再現確認をした環境

Struts 2.3.33
Struts 2.5.10
Struts 2.5.12

上記環境において、OS コマンド実行が可能であることを確認しております。
Struts 2.5.13 については、攻撃が成功しないことを確認しております。

対策方法

Struts 2.3.34、もしくは Struts 2.5.13 にアップデートしてください。RESTプラグインを削除することや、XML形式のリクエストを受け付けないよう制限することも有効です。

参考URL


サイバーセキュリティに関する
様々な情報をお届けします

メルマガでは、より厳選した情報を
月に2〜3回配信しています
詳しくはこちら

page top