Tenable ブログ
ブログ通知を受信する
Apache Struts、FileUploadライブラリのリモートコード実行の脆弱性（CVE-2016-1000031）を修正
Apache Software Foundationは、リモートでコードが実行される可能性のあるCommons FileUploadライブラリの脆弱性に対処するため、Apache Strutsのセキュリティ更新プログラムを発表しました。 今すぐ、更新プログラムを適用することをお勧めします。
背景
11月5日、Apache Software Foundation（ASF）は、Apache Strutsプロジェクト管理者にCVE-2016-1000031についてのセキュリティ情報を公開しました。 これは、2016年にTenableの研究チームによって最初に報告されたCommons FileUploadライブラリの脆弱性です。このライブラリはApache Struts 2の一部として提供され、ファイルアップロードのデフォルトのメカニズムとして使用されています。ASFはApache Struts 2.3.36以前が脆弱であると報告しています。 攻撃者は、この脆弱性を利用して、脆弱なバージョンのApache Strutsを実行している一般公開されているWebサイトでリモートでコードを実行する可能性があります。
脆弱性の詳細
この脆弱性の詳細については、Tenable ResearchアドバイザリーのApache Commons FileUploadのDiskFileItemでファイルを操作される、およびリモートでコードを実行される脆弱性が発見 （LOBSTER）を参照してください。
緊急措置が必要
ASFは、Apache Strutsバージョン2.5.12以上には、パッチされたファイルバージョンであるcommons-fileuploadライブラリ1.3.3が含まれていることを確認しています。可能であれば、Apache Strutsプロジェクト管理者は2.5.12以上にアップグレードする必要があります。また、ASFは、WEB-INF / libパスのJARファイルを修正されたバージョンに置き換えるだけで、すでにインストールされているプロジェクトにパッチされたcommons-fileuploadライブラリをドロップできると報告しています。MavenベースのStrutsプロジェクトは、以下の依存関係を追加することでこの脆弱性に対処できます。
<dependency> <groupId>commons-fileupload</groupId> <artifactId>commons-fileupload</artifactId> <version>1.3.3</version> </dependency>
影響を受けているシステムの特定
この脆弱性を特定するためのNessusプラグイン一覧はこちらです。
詳細はこちら：
- Struts 2.3.36以前を実行している場合、すぐにcommons-fileuploadをバージョン1.3.3にアップグレードしてください
- CVE-2016-1000031の詳細情報
- Tenable Researchアドバイザリー: Apache Commons FileUploadのDiskFileItemでファイルを操作される、およびリモートでコードを実行される脆弱性が発見
現代のアタックサーフェスを総合的に管理するCyber Exposureプラットフォーム、Tenable.ioの詳細はこちら。Tenable.io Vulnerability Managementの60日間無料トライアルをお試し下さい。
関連記事
Secure Your Sprawling Attack Surface With Risk-based Vulnerability Management
August 27, 2024The cloud, artificial intelligence (AI), machine learning and other technological breakthroughs are radically changing the modern work environment. New assets and services offer increased flexibility, growth potential and access to more resources. However, they also introduce new security risks. Managing vulnerabilities across this ever-expanding threat landscape requires a risk-based approach beyond point solutions and reactive patch management.
CVE-2024-7593: Ivanti Virtual Traffic Manager Authentication Bypass Vulnerability
August 14, 2024Ivanti released a patch for a critical severity authentication bypass vulnerability and a warning that exploit code is publicly available
CVE-2024-20419: Cisco Smart Software Manager On-Prem Password Change Vulnerability
August 9, 2024Critical vulnerability in Cisco Smart Software Manager On-Prem exposes systems to unauthorized password changes, exploit code now available.BackgroundOn July 17, 2024, Cisco published an advisory for ...
Cybersecurity Snapshot: Critical Infrastructure Orgs Found Vulnerable to Basic Hacks, While New MITRE Tool Uses ML to Predict Attack Chains
September 20, 2024Report finds that many critical infrastructure networks can be breached using simple attacks. Plus, a new MITRE Engenuity tool uses machine learning to infer attack sequences. Meanwhile, CISA will lead a project to standardize civilian agencies’ cyber operations. And get the latest on XSS vulnerabilities, CIS Benchmarks and a China-backed botnet’s takedown!
An Analyst’s Guide to Cloud-Native Vulnerability Management: Where to Start and How to Scale
September 19, 2024Cloud-native workloads introduce a unique set of challenges that complicate traditional approaches to vulnerability management. Learn how to address these challenges and scale cloud-native VM in your org.
Mastering Containerization: Key Strategies and Best Practices
September 17, 2024As organizations modernize their infrastructure, containers offer unparalleled flexibility and scalability but they also introduce unique security challenges. In this blog we explain container security challenges, identify top threats and share how the newly released Tenable Enclave Security can keep your containers secure.
- Vulnerability Management
- Vulnerability Scanning