【活用ガイド】

JVNDB-2024-014619

Apache Struts 2 のファイルアップロード処理に不備（S2-067）

概要

The Apache Software Foundation が提供する Apache Struts 2 には、ファイルアップロード処理に不備（CVE-2024-53677）が存在します。ファイルアップロード時のパラメータが細工された場合、悪意のあるファイルをアップロードされる可能性があります。
開発者は本脆弱性を S2-066（JVNVU#96961218 で公表）と同様の問題と報告しています。

なお、File Upload Interceptor を使用していない場合、本脆弱性の影響は受けません。
CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


Apache Software Foundation
  • Apache Struts 2.5.0 から 2.5.33
  • Apache Struts 6.0.0 から 6.3.0.2

すでに EOL（End-Of-Life）となった、Apache Struts 2.0.0 から 2.3.37 も本脆弱性の影響を受けます。
想定される影響

任意のコードが実行される可能性があります。
対策

[Struts 2 本体をアップグレードするとともに、新しいファイルアップロードメカニズムに移行する]
Apache Struts 6.4.0 およびそれ以降のバージョンにアップグレードした上で、新しいファイルアップロードメカニズムに移行してください。
詳細は、開発者が提供する情報を確認してください。
ベンダ情報

Apache Software Foundation
CWEによる脆弱性タイプ一覧  CWEとは?

共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2024-53677
参考情報

  1. JVN : JVNVU#91257897
  2. JVN : JVNVU#96961218
更新履歴

  • [2024年12月13日]
      掲載

公表日2024/12/12
登録日2024/12/13
最終更新日2024/12/13