Apache Struts2 の脆弱性対策について(CVE-2016-3081)(S2-032)

Apache Software Foundation が提供する Apache Struts は、Java のウェブアプリケーションを作成するためのソフトウェアフレームワークです。
Apache Struts 2 には、DMI（Dynamic Method Invocation）機能に起因する脆弱性(CVE-2016-3081)が存在します。

本脆弱性が悪用された場合、遠隔の第三者によって、サーバ上で任意のコードを実行される可能性があります。

本脆弱性を悪用する攻撃コードが確認されていますので、対策済みのバージョンへのアップデートや回避策を至急実施してください。

5/6 更新
攻撃コードを用いたと思われる通信や被害が発生したとの情報があります。当該脆弱性に未対応の方は、大至急、対策済みのバージョンへのアップデートや回避策を実施してください。

図：脆弱性を悪用した攻撃のイメージ

• Apache Struts 2.3.20 から 2.3.28
  （2.3.20.3 および 2.3.24.3 を除く）

Apache Struts 1 への影響は現在のところ不明です。

Apache Struts 2 系のバージョンの確認方法例

Apache Struts 2 を利用しているウェブアプリケーションの /WEB-INF/lib ディレクトリを開き、その中の struts2-core-2.x.x.x.jar ファイルの名称を確認してください。

脆弱性の解消 - アップデートする

開発者が脆弱性を修正した最新版を公開していますのでアップデートを実施してください。

脆弱性の回避策 - DMI 機能を無効にする

DMI（Dynamic Method Invocation）機能を無効にすることで本脆弱性を回避することができます。

• Security Bulletins S2-032
  https://struts.apache.org/docs/s2-032.html
• CVE-2016-3081
  https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3081
• Apache Struts 2の脆弱性を標的としたアクセスの観測について
  https://www.npa.go.jp/cyberpolice/detect/pdf/20160427.pdf
• Apache Struts 2 DMIへの攻撃増加と、被害発生を確認しました
  http://www.lac.co.jp/blog/category/security/20160428.html
• Apache Struts2の脆弱性(CVE-2016-3081/S2-032)に対する攻撃を確認
  https://www-304.ibm.com/connections/blogs/tokyo-soc/entry/struts2_cve-2016-3081?lang=ja
• Apache Struts 2 の脆弱性 (S2-032) に関する注意喚起
  https://www.jpcert.or.jp/at/2016/at160020.html
• Apache Struts 2の脆弱性により、リモートから任意のコードが実行可能な脆弱性(CVE-2016-3081)（S2-032）に関する調査レポート
  https://www.softbanktech.jp/information/2016/20160428-01/