リモートホストにインストールされているApache Strutsのバージョンは、6.11.0より前の6.0.0、または7.3.0より前の7.0.0です。したがって、S2-072およびS2-074のアドバイザリに記載されているように、複数のサービス拒否の脆弱性の影響を受けます:

  - アプリケーションが JSON リクエスト本文からのアクションを入力できるように構成されている場合、プラグインは、受け入れる量を制限することなくその本文をメモリに読み取ります。このため、単一のリクエストによってサーバーがリクエストのサイズに比例してメモリを割り当て、ヒープを使い果たし、他のユーザーへのサービスを拒否する可能性があります。JSON 入力長に関するプラグインの設定可能な制限は、この読み込みを制限しないため、この制限を下げても露出は減少しません。この問題は JSON プラグインに限定されています。このプラグインはオプションのコンポーネントであり、Struts コアの一部ではありません。JSON プラグインを使用しないアプリケーションは影響を受けません。また、デフォルトで有効になっていない JSON リクエスト本文処理を有効化せずに JSON プラグインを使用するアプリケーションも影響を受けません。(CVE-2026-73633)

  - Struts は、localized-text 検索を通じて、型変換および検証エラーメッセージを解決します。固定ロケールが構成されていない場合、ルックアップロケールはインバウンドリクエストから取得されるため、認証されていないリモートクライアントは、フレームワークの内部ローカライズドテキストキャッシュをバインドせずに拡張し、ヒープメモリを使い果たす可能性があります。固定ロケールを構成するアプリケーションは影響を受けません。(CVE-2026-73635)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Apache Struts 6.x < 6.11.0 / 7.x < 7.3.0 の複数の脆弱性(S2-072) (S2-074)

high Nessus プラグイン ID 338651

バージョン 1.2

バージョン 1.1

バージョン 1.2 Aug 21, 2026, 11:26 PM CVSS temporal metrics ("CVSSv2 temporal vector" set to "CVSS2#E:POC/RL:OF/RC:C") CVSS temporal metrics ("CVSSv3 temporal vector" set to "CVSS:3.0/E:P/RL:O/RC:C") CVSSv3 score source (set to "CVE-2026-73635") Exploit attributes ("Exploit available" set to "True") Exploit attributes ("Exploitability ease" set to "Exploits are available") Plugin Feed: 202608212326
バージョン 1.1 Aug 21, 2026, 12:45 PM New Plugin Feed: 202608211245