TOP

2017年12月13日 | テクノロジー

LINE、メッセージの削除機能を正式に提供開始へ

2017年12月13日にLINEが、メッセージの削除を行える「送信取消機能」の提供を開始したことが明らかとなりました。   ...

2017年12月13日 | テクノロジー

Apple、iMac Proのカスタマイズモデルを2018年より受付開始か – 一部ユーザーには受付済み!?

2017年12月13日にAppleが、「iMac Pro(アイマックプロ)」のカスタマイズモデルを2018年より受付開始する可能性が浮上して...

2017年12月13日 | テクノロジー

【56万円!?】Apple、iMac Proの予約受付を開始へ – 12月14日より販売開始

2017年12月13日にAppleが、「iMac Pro(アイマックプロ)」を2017年12月14日に販売開始することを正式に発表いたしまし...

2017年12月12日 | 自動車

Uber、ロンドンでの営業免許の有効期限を2018年4月・6月まで延期へ

2017年12月12日にライドシェアリングサービスで有名なUberが、ロンドンでの営業免許の有効期限を2018年4月あるいは2018年6月ま...

2017年12月12日 | テクノロジー

Apple、iMac Proを12月18日より注文開始へ

2017年12月12日にAppleが、「iMac Pro(アイマックプロ)」を2017年12月18日より注文が可能な状態へ移行することが判明...

2017年12月12日 | テクノロジー

Google、スマートスピーカー「Google Home Max」を販売開始へ

2017年12月12日にGoogleが、スマートスピーカー「Google Home Max(グーグルホームマックス)」の販売を開始したことが...

2017年12月11日 | テクノロジー

Google Home Mini、アップデートにより隠し機能を解禁か

2012年12月11日にGoogleが、スマートスピーカー「Google Home Mini」のアップデートにより、上部を長押しする操作を側...

2017年12月11日 | テクノロジー

Windows 10、アップデートによりLTE通信機能と電源周りを強化か

2017年12月11日にMicrosoftが、「Windows 10」の次期アップデートによりLTEなどのセルラー機能や電源管理機能を強化す...

2017年12月10日 | テクノロジー

Apple、音楽認識アプリShazamを買収 – Siriの強化へ応用か

2017年12月9日にAppleが、音楽認識アプリである「Shazam」を買収したことが明らかとなりました。   &n...

2017年12月10日 | テクノロジー

【販売間近!?】iMac Proがユーラシア経済委員会の認証を通過

2017年12月7日にAppleから販売予定の「iMac Pro(アイマックプロ)」と思われるディバイスが、ユーラシア経済委員会の認証を通過...

2017年3月10日

Apache Struts 2、深刻な脆弱性が見つかり、現在も攻撃が横断中

2017年3月10日に「Apache Struts 2」で利用しているマルチパートパーサーに、深刻な脆弱性が見つかった問題が大規模に影響されることからセキュリティ機関やセキュリティベンダーでは注意を呼びかけている。

 

 

 

今回の問題は、ファイルのアップロードに使用される「jakartaマルチパートパーサー」に深刻な脆弱性「CVE-2017-5638」が公表されました。

 

 

脆弱性の内容

影響を受けるのは「Apache Struts 2」のバーッジョンはStruts 2.3.5~Struts 2.3.31、Struts 2.5~Struts 2.5.10となっている。

 

 

 

 

脆弱性「CVE-2017-5638」を検証したJPCERTコーディネーションセンターは、細工を施したHTTPリクエストを受けると、サーバー上で任意のコードが実行される恐れがあると説明している。

 

 

 

 

同様にソフトバンク・テクノロジーも、脆弱性の悪用は容易であり、攻撃を受けた場合の影響範囲は大きいものとコメントしている。

 

 

 

 

さらにCisco SystemsのTalosセキュリティインテリジェンス&リサーチグループも、すでに多数の攻撃を検知しているようだ。

 

 

 

 

今回の脆弱性は、2017年3月6日にセキュリティアドバイザリが公開を行い、2017年3月7日の午前中に実証コードを公開しました。

 

 

 

 

公開後は、至る所で脆弱性を利用した攻撃が開始されており、現在も続けられている。

 

 

 

 

脆弱性による被害

今回の脆弱性を利用して「ifconfig」や「whoami」などのシステム情報を得ることができるコマンドが実行できるほか、アクセス制限を行う「iptables」を停止させ、外部ブラウザからDos攻撃用のボットなどのマルチウェアをダウンロード、実行させることも確認されている。

 

 

 

 

脆弱性を解消した、「2.3.32」「2.5.10.1」へのアップデートや、デフォルトで利用するマルチパートパーサーの変更、サーブレットフィルタの制御などの対策が必要となりますので、該当する場合は、早急に対策することをおすすめします。

出典元:Security Next

スポンサーリンク

あなたにおすすめの記事

この記事が気に入ったら
いいね!しよう

最新情報をお届けします

こちらの記事もおすすめ

         

カテゴリ

タグ

参加してます


お気軽にお書きください

メールアドレスが公開されることはありません。 * が付いている欄は必須項目です

日本語が含まれない投稿は無視されますのでご注意ください。(スパム対策)