[English]
|
JVNDB-2016-000111
|
Apache Strutsにおけるクロスサイトリクエストフォージェリの脆弱性
|
Apache Software Foundation が提供する Apache Struts は、Java のウェブアプリケーションを開発するためのソフトウェアフレームワークです。Apache Struts を使用して開発された Web アプリケーションには、クロスサイトリクエストフォージェリの脆弱性が存在します。
この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 三井物産セキュアディレクション株式会社 寺田 健 氏
|
|
CVSS v3 による深刻度 基本値: 3.1 (注意) [IPA値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 高
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): なし
- 完全性への影響(I): 低
- 可用性への影響(A): なし
CVSS v2 による深刻度 基本値: 4.3 (警告) [IPA値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 中
- 攻撃前の認証要否: 不要
- 機密性への影響(C): なし
- 完全性への影響(I): 部分的
- 可用性への影響(A): なし
|
|
Apache Software Foundation
- Apache Struts 2.3.20 から 2.3.28.1 まで
|
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。
Apache Struts 1 への影響の有無は不明です。
なお、Apache Struts 1 は、2013年4月5日付けでサポート終了 (EOL) が宣言 されています。
|
遠隔の第三者によって、ユーザが意図しない操作をさせられたり、外部の URL にリダイレクトされたり、細工されたデータを登録されたりする可能性があります。
|
[アップデートする]
開発者が提供する情報をもとに最新版へアップデートしてください。
|
Apache Software Foundation
レッドハット
日本電気
|
- クロスサイトリクエストフォージェリ(CWE-352) [IPA評価]
|
- CVE-2016-4430
|
- JVN : JVN#45093481
- National Vulnerability Database (NVD) : CVE-2016-4430
|
- [2016年06月20日]
掲載
[2016年08月03日]
ベンダ情報:レッドハット (Bug 1348249) を追加
参考情報:National Vulnerability Database (NVD) (CVE-2016-4430) を追加
- [2022年08月09日]
ベンダ情報:日本電気 (NV22-005) を追加
|