JVNDB-2015-000052

S2Struts の Validator に入力値検査回避の脆弱性

特定非営利活動法人 Seasar ファウンデーションが提供する S2Struts は、Java のウェブアプリケーションを作成するためのソフトウェアフレームワークです。S2Struts 1.2.x は Apache Struts 1.2.x を、S2Struts 1.3.x は Apache Struts 1.3.x を利用しているため、Apache Struts 1 の Validator に存在する脆弱性の影響を受けます。

Apache Struts 1.1 以降の Validator には、画面遷移における複数ページでの入力値検査ルールを効率的に定義する機能 (以下 MPV 機能とする) が存在します。
MPV 機能には、入力値検査が不正に回避される脆弱性が存在します。
Apache Struts 1 の Validator を使用している場合、MPV 機能を明示的に使用していなくても、本脆弱性の影響を受けます。

特定非営利活動法人 Seasar ファウンデーション

• S2Struts 1.2.13 およびそれ以前
• S2Struts 1.3.2 およびそれ以前

アプリケーションの実装により異なりますが、入力値検査が回避されることで、想定外のデータがデータベースに登録されるなどの可能性があります。

[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。

特定非営利活動法人 Seasar ファウンデーション

• Seasar Project : The Seasar Project
• The Seasar Foundation : Seasar - DI Container with AOP

1. 不適切な入力確認(CWE-20) [IPA評価]

1. CVE-2015-0899

1. JVN : JVN#91383083
2. National Vulnerability Database (NVD) : CVE-2015-0899

• [2015年04月10日]
    掲載
  [2016年08月26日]
    参考情報：National Vulnerability Database (NVD) (CVE-2015-0899) を追加