Apache Struts 2.5.14 <= 2.5.33 / 6.x < 6.12.0 / 7.x < 7.4.0 サービス拒否(S2-076)

high Nessus プラグイン ID 364467

Language:

概要

リモートホストにインストールされているApache Strutsは、サービス拒否の脆弱性の影響を受けます。

説明

リモートホストにインストールされている Apache Struts のバージョンは、2.5.33 まで2.5.14、6.12.0 より前の 6.x、または 7.4.0 より前の 7.x です。したがって、S2-076のアドバイザリに記載されているとおり、サービス拒否の脆弱性の影響を受けます。

- Apache Strutsの非対称リソース消費(増幅)の脆弱性。リクエストパラメーターが任意の精度の十進数(java.math.BigDecimal)プロパティにバインドされ、それがStrutsタグライブラリを通じてレンダリングされると、フレームワークはリクエストよりも何桁も大きい応答を生成する可能性があります。これにより、認証されていないリモートの攻撃者が、低容量のトラフィックを持続させてサーバーCPUとアウトバウンドネットワークの容量を枯渇させる可能性があります。リクエストパラメーターを BigDecimal プロパティにバインドしないアプリケーション、または Struts タグライブラリを通じてこのようなプロパティを決してレンダリングしないアプリケーションは、影響を受けません。(CVE-2026-104712)

アプリケーションがリクエストパラメーターを BigDecimal プロパティにバインドし、それらを Struts タグライブラリを通じてレンダリングするかどうかを Nessus は検証できないため、この検出結果は潜在的な脆弱性としてフラグが立てられます。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。