Grails リソースプラグイン WEB-INF/META-INF ファイル漏洩

medium Nessus プラグイン ID 72757

Language:

概要

リモート Web サーバーで使用されている Java Web アプリケーションアプリケーションフレームワークは、情報漏洩の脆弱性による影響を受けます。

説明

リモート Web サーバーは、JVM 向けオープンソースの Web アプリケーションフレームワークである Grails の、情報漏洩の脆弱性の影響を受けるバージョンを使用しています。具体的には、その「resources」プラグインは、デフォルトではアプリケーションの｢WEB-INF｣および｢META-INF｣ディレクトリにあるリソースへのアクセスを制限できません。リモートの攻撃者がこれを利用して、ディレクトリトラバーサルシーケンスを使用する他の Web アプリケーションを含めて、プライベートである必要があるクラスまたは web.xml などの構成ファイルのコンテンツを取得する可能性があります。

ソリューション

｢resources｣プラグインを 1.2.6 にアップグレードし、｢WEB-INF｣および｢META-INF｣の下にあるリソースへのアクセスをブロックするように構成し、影響を受けるアプリケーションを再展開してください。

あるいは、リバースプロキシにある｢WEB-INF｣および｢META-INF｣ディレクトリへのアクセスをブロックします。