Apache Struts 2 RESTプラグインにおける、@StrutsParameterの制限が@JsonAnySetterに適用されない問題
3行でわかる
01何が起きたApache Struts 2のRESTプラグインに脆弱性がある。
02注意すべき人・企業Apache Struts 2 バージョン7.2.1から7.3.0を使用しているユーザー。
03今すぐの対策最新版へのアップデートと設定の確認を行うべき。
概要
Apache Software Foundationが提供するApache Struts 2のRESTプラグインには、Jacksonの@JsonAnySetterが指定されたフィールドやメソッドに対して@StrutsParameterの制限が行われない問題が存在します。
影響を受ける製品
- Apache Struts 2 バージョン7.2.1から7.3.0
想定される影響・悪用状況
@JsonAnySetterが指定されたメンバーへの入力値に対して@StrutsParameterによる認可チェックが行われず、データの改ざんにつながる可能性があります。
対策
アップデートパッチ適用：ソフトウェアやファームウエアに発見された脆弱性や不具合を修正するための更新プログラムを適用し、システムを安全な状態に保つこと。詳しく見る →する
開発者が提供する情報をもとに、バージョン7.4.0およびそれ以降の最新版にアップデートしてください。
そのうえで、struts.rest.anySetter.requireAnnotations=trueを設定し、any-setterとして利用する各メソッドに@StrutsParameter(allowDynamicKeys = true)アノテーションを付与してください。これにより、アノテーションが付与されていないany-setterには、値が設定されなくなります。
ワークアラウンドを実施する
- RESTのパラメータが注入されるActionやModelクラスでは
@JsonAnySetterアノテーションを用いない @JsonAnySetterが必要な場合は、値を格納する前にアプリケーション側で検証する
※本記事は、公的機関が公開した情報をもとにSECURITY DRIVE編集部が要約・解説したものです。正確な内容は出典の一次情報をご確認ください。