Apache Struts 2ã®ClassLoader を外部ã‹ã‚‰æ“作ã•ã‚Œã‚‹è„†å¼±æ€§ï¼ˆCVE-2014-0094）（S2-020）を利用ã—ãŸæ”»æ’ƒæ¤œè¨¼ãƒ¬ãƒãƒ¼ãƒˆ « (n)Tweetã€æ¦‚è¦ã€‘ å‰å›žã¯æ¤œè¨¼ã§ã¯æ”»æ’ƒè€…ãŒåˆ¶å¾¡ã‚’誘導ã™ã‚‹ã“ã¨ãŒå¯èƒ½ã§ã‚ã‚‹ã“ã¨ã‚’確èªã—ã¾ã—ãŸã€‚今回ã¯å®Ÿéš›ã®æ”»æ’ƒã‚’想定ã—「webshellã€ãŒè¨ç½®ã§ãã‚‹ã“ã¨ã‚’確èªã—ã¾ã™ã€‚webshellã¯ãƒ–ラウザã‹ã‚‰ã‚³ãƒžãƒ³ãƒ‰ã‚’入力ã—ã€ãã®çµæžœã‚’表示ã™ã‚‹ã‚ˆã†ãªã‚¦ã‚§ãƒ–アプリケーションã§ã™ã€‚ ã€å½±éŸ¿ã‚’å—ã‘ã‚‹å¯èƒ½æ€§ãŒã‚るシステム】 - Apache Struts 2.0.0 –  2.3.16 ã€å¯¾ç–案】 Apache Software Foundationã‹ã‚‰æœ¬è„†å¼±æ€§ã‚’ä¿®æ£ã•ã‚ŒãŸãƒãƒ¼ã‚¸ãƒ§ãƒ³ã€ŒApache Struts 2.3.16.1ã€ãŒãƒªãƒªãƒ¼ã‚¹ã•ã‚Œã¦ãŠã‚Šã¾ã™ã€‚当該脆弱性ãŒä¿®æ£ã•ã‚ŒãŸä¿®æ£ãƒ—ãƒã‚°ãƒ©ãƒ ã‚’é©ç”¨ã—ã¦ã„ãŸã ãã“ã¨ã‚’推奨ã„ãŸã—ã¾ã™ã€‚ ãªãŠã€ä¸Šè¨˜ã®ã€ŒApache Struts 2.3.16.1ã€ã§ã¯ã€å›žé¿ç–（Workaround）ã¨ã—ã¦è¨˜è¿°ã®ã‚ã‚‹ã¨ãŠã‚Šã«åˆæœŸè¨å®šãŒå¤‰æ›´ã«ãªã£ã¦ãŠã‚Šã¾ã™ã€‚ãã®ãŸã‚ã€ç·Šæ€¥ã®ãƒãƒ¼ã‚¸ãƒ§
例ãˆã°ã€Strutsã‚’é¿ã‘ã‚‹
ã‚»ã‚ュリティnews | MBSD
{{#tags}}- {{label}}
{{/tags}}