脆弱性情報 Apache Struts は、洗練されたモダンな Java Web アプリケーションを作成するための無料のオープンソース MVC フレームワークです。設定よりも規約を優先し、プラグインアーキテクチャで拡張でき、REST、AJAX、JSON をサポートするプラグインが同梱されています。 先日、Apache は S2-062 リモートコード実行脆弱性のセキュリティアドバイザリを公開しました。脆弱性 ID は CVE-2021-31805 です：
CVE-2020-17530 に対して公開された修正は不完全でした。そのため、Apache Struts 2.0.0 から 2.5.29 において、開発者が %{…} 構文を使用して強制的な OGNL 評価を適用した場合、一部のタグの属性で二重評価が実行される可能性が依然としてあります。信頼できないユーザー入力に対して強制的な OGNL 評価を使用すると、リモートコード実行の脆弱性が発生する可能性があります。 このうち、脆弱性 ID CVE-2022-22954 が影響するバージョンは以下のとおりです： Struts 2.0.0 - Struts 2.5.29
