Strutsã®ClassLoader脆弱性ã¯SAStrutsã«å½±éŸ¿ã—ã¾ã›ã‚“ - ã²ãŒã‚„ã™ã‚’技術ブãƒã‚°Struts2ã«è¦‹ã¤ã‹ã£ãŸè„†å¼±æ€§ã¨åŒæ§˜ã®è„†å¼±æ€§ãŒStruts1ç³»ã«ã‚‚見ã¤ã‹ã‚Šã¾ã—ãŸã€‚ Apache Struts 2ã®è„†å¼±æ€§ãŒã€ã‚µãƒãƒ¼ãƒˆçµ‚了ã®Apache Struts 1ã«ã‚‚影響 HTTP(S)ã®ãƒªã‚¯ã‚¨ã‚¹ãƒˆã§Javaã®ClassLoaderã®ãƒ¡ã‚½ãƒƒãƒ‰ãŒå‘¼ã³å‡ºã›ã¦ã—ã¾ã†ã¨ã„ã†è„†å¼±æ€§ã§ã™ã€‚ ã‚‚ã†å°‘ã—å™›ã¿ç •ã„ã¦è¨€ãˆã°ã€ãƒªã‚¯ã‚¨ã‚¹ãƒˆã®ãƒ‘ラメータをJavaBeansã«ã‚»ãƒƒãƒˆã™ã‚‹æ™‚ã«ã€ãƒªãƒ•ãƒ¬ã‚¯ã‚·ãƒ§ãƒ³ã‚’使ã„ã€ãƒ‘ラメータåã«aaa.bbb.cccã®ã‚ˆã†ãªãƒã‚¹ãƒˆã—ãŸåå‰ã‚’サãƒãƒ¼ãƒˆã—ã¦ã„るフレームワークã¯åŒæ§˜ã®å•é¡ŒãŒèµ·ã“ã‚‹å¯èƒ½æ€§ãŒã‚ã‚Šã¾ã™ã€‚ パラメータåã‚’class.classLoader.xxxã®ã‚ˆã†ãªæ„Ÿã˜ã«ã—ã¦ã€ClassLoaderã®ãƒ¡ã‚½ãƒƒãƒ‰ã‚’呼ã³å‡ºã™è¨³ã§ã™ã€‚ ã“ã®ã‚ˆã†ãªå•é¡Œã‚’èµ·ã“ã™ãƒªãƒ•ãƒ¬ã‚¯ã‚·ãƒ§ãƒ³ãƒ•ãƒ¬ãƒ¼ãƒ ワークã§æœ€ã‚‚有åãªã®ã¯ã€Apache Commons BeanUtilsã§ã™ã€‚リクエストã®ãƒ‘ラメータ
Seasar2ã‚’æ–°è¦æ¡ˆä»¶ã«æŽ¡ç”¨ã™ã‚‹ã®ã¯ãã‚ãã‚ã‚„ã‚ãŸã»ã†ãŒã„ã„ - ãã—ã ã®Hatena
「Seasarã®å•é¡Œç‚¹ãªã©ã€ã«ãã‚ãã‚一言ã„ã£ã¦ãŠãã‹ - ã²ãŒã‚„ã™ã‚’技術ブãƒã‚°
2008-09-06
SAStruts ãŒæ‹¡å¼µæ€§ã«ä¹ã—ã„？ - cypher256's blog
{{#tags}}- {{label}}
{{/tags}}