Struts2が危険である理由
はじめに 2017年3月、Struts2にまたしても新たな脆弱性(S2-045、S2-046)が見つかり、複数のウェブサイトにおいて情報漏洩等の被害が発生しました。筆者は2014年4月（およそ3年前）に「例えば、Strutsを避ける」という記事を書きましたが、今読み返してみると「やや調査不足の状態で書いてしまったな」と感じる点もあります。今回、良いタイミングなのでもう一度Struts2のセキュリティについてざっとまとめてみたいと思います。 なぜJavaなのにリモートからの任意のコード実行(いわゆるRCE)が可能なのか Struts2はJavaアプリケーションであり、Java製のアプリケーションサーバ上で動作します。Javaはいわゆるコンパイル型の言語であるため、通常はランタイムにおいて任意のコードを実行することはできず、RCEは難しいはずです。 JavaのウェブアプリケーションでRCEが成
岡山県のStruts2稼動サイト、不正アクセスでDoS攻撃の踏み台に
岡山県は2017年3月22日、県内12市町と共同でオープンデータを公開するWebサイト「おかやまオープンデータカタログ」を3月14日に停止したと発表した。同サイトはStruts2の脆弱性（S2-045、CVE-2017-5638）のあるバージョンで運営しており、「ログが改ざんされていて調査を進めている段階だが、脆弱性を攻撃された可能性がある」（県民生活部情報政策課）。 岡山県はクラウドサービス上に同サイトを構築、2017年1月13日にオープンした。3月17日未明に第三者が同サイトに不正アクセスし、「サーバーを乗っ取って、海外のサーバーにDoS（サービス妨害）攻撃を仕掛けていたようだ」（同）。 同サイトの運用保守会社が異常に気が付き、同日午前4時8分に公開を停止。もともと個人情報を保持していなため、個人情報の流出はない。 情報政策課によれば17日にベンダーから受け取った第一報は「異常が起きて
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
