I.概要

II.対策

次のバージョンの Apache Struts 2 が本脆弱性の影響を受けます。

– 2.5 系列    2.5.13 より前のバージョン

S2-052 : Possible Remote Code Execution attack when using the Struts REST plugin with XStream handler to handle XML payloads
https://cwiki.apache.org/confluence/display/WW/S2-052
**********************************************************************

III.対策

– 2.5 系列    2.5.13

– 2.3 系列    2.3.7 から 2.3.33 までのバージョン
– 2.5 系列    2.5.13 より前のバージョン

– 2.3 系列    2.3.7 から 2.3.33 までのバージョン
– 2.5 系列    2.5.13 より前のバージョン

Version Notes 2.5.13
https://struts.apache.org/docs/version-notes-2513.html

– 2.3 系列    2.3.34

Version Notes 2.3.34
https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.3.34
**********************************************************************

IV. 参考情報

Apache Struts 2 Documentation
S2-052 : Possible Remote Code Execution attack when using the Struts REST plugin with XStream handler to handle XML payloads
https://struts.apache.org/docs/s2-052.html

REST Plugin
https://struts.apache.org/docs/rest-plugin.html

S2-050 : A regular expression Denial of Service when using URLValidator (similar to S2-044 & S2-047)
https://struts.apache.org/docs/s2-050.html

S2-051 : A remote attacker may create a DoS attack by sending crafted xml request when using the Struts REST plugin
https://struts.apache.org/docs/s2-051.html

JVNVU#92761484
Apache Struts2 に任意のコードが実行可能な脆弱性 (S2-052)
https://jvn.jp/vu/JVNVU92761484/
**********************************************************************