🚨🚨 CVE-2024-53677-S2-067🚨🚨

セキュリティ勧告: CVE-2024-53677 – 重大なApache Strutsリモートコード実行の脆弱性

勧告日: 2024年12月14日

CVE ID: CVE-2024-53677

CVSSスコア: 9.5 (重大)

概要

Apache Strutsフレームワークに、CVE-2024-53677という重大な脆弱性が特定されました。この脆弱性により、攻撃者はリモートで任意のコードを実行できる可能性があります。この脆弱性は、ファイルアップロードロジックの欠陥に起因し、パストラバーサルや悪意のあるファイルアップロードを実行するために悪用される可能性があります。

この脆弱性は特定のバージョンのApache Strutsに影響を及ぼし、開発者と管理者は悪用のリスクを軽減するために直ちに対応する必要があります。

影響を受けるバージョン

• 以下のバージョンのApache Strutsが影響を受けます: 2.0.0 to 2.5.33 6.0.0 to 6.3.0.2 この問題はApache Struts 6.4.0以降で修正されています。

説明

CVE-2024-53677は、攻撃者がApache Strutsのファイルアップロードメカニズムの弱点を悪用することを可能にする重大な脆弱性です。ファイルアップロードパラメータを操作することで、攻撃者は以下を達成できます：

• パストラバーサル: セキュリティメカニズムをバイパスして、サーバー内の任意の場所にファイルをアップロードします。
• リモートコード実行 (RCE): .jspスクリプトやバイナリペイロードなどの実行可能ファイルをアップロードしてトリガーすることにより、悪意のあるコードを実行します。

Apache Strutsの勧告によると、この脆弱性は古いファイルアップロードメカニズムと後方互換性がありません。そのため、非推奨のファイルアップロード方式を使用している組織は、バージョン6.4.0で導入された新しい安全なメカニズムを採用するためにアクションを書き換える必要があります。

緩和策

1. Apache Struts 6.4.0以降にアップグレードする
   • Apache Strutsチームはバージョン6.4.0で脆弱性を修正しました。
   • セキュリティを確保するために、新しいAction File Uploadメカニズムに移行してください。この移行は後方互換性がないため、コードのリファクタリングが必要であることに注意してください。

S2-067 https://cwiki.apache.org/confluence/display/WW/S2-067