2020年9月2日にApache Strutsの脆弱性情報が公開されました。
対応が必要か検討してください。
Apache Struts 1 の ActionForm は、次の 2 つの条件が成立する場合、Servlet や ClassLoader など、サーバのメモリ上にあるコンポーネントを操作可能な脆弱性が存在します。 条件1. 次の ActionForm (サブクラスを含む) をセッションスコープに置いており、同一のセッションを処理する複数のスレッドが、同一の ActionForm インスタンスにアクセスできる ・ActionForm (DynaActionForm とそのサブクラスのように、DynaBean インターフェースを実装したクラスは除く) ・ValidatingActionForm ・ValidatorForm ・ValidatorActionForm 条件2. マルチパート形式のリクエストを受け付ける (ウェブアプリケーションがマルチパート形式のフォームを使用していない場合も該当する)
製品：Apache Struts
企業：Apache Software Foundation
CVSS v2
CVSS v3

参考：CVSSの深刻度レベル

スコア	CVSS v2	CVSS v3
9.0～10.0	危険	緊急
7.0～8.9	危険	重要
4.0～6.9	警告	警告
0.1～3.9	注意	注意
0	注意	なし

JVN JVNDB-2016-000096
https://jvndb.jvn.jp/ja/contents/2016/JVNDB-2016-000096.html
JVN JVN#03188560
https://jvn.jp/jp/JVN03188560/index.html
JVN JVNVU#91417143
https://jvn.jp/vu/JVNVU91417143/
CVE CVE-2016-1181
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-1181
NVD CVE-2016-1181
https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1181
ICS-CERT ADVISORY ICSMA-20-184-01
https://us-cert.cisa.gov/ics/advisories/icsma-20-184-01
関連文書 Fixed CVE-2016-1181 and CVE-2016-1182
https://github.com/kawasima/struts1-forever/commit/eda3a79907ed8fcb0387a0496d0cb14332f250e8
CWE-Other
https://www.ipa.go.jp/security/vuln/CWE.html#CWEOther
登録日
2020/09/02 01:42:00
最終更新日
2020/09/02 01:42:00
もっと見る >>