Trusted Design

CVE-2017-9805 の詳細

CVEの情報

説明:
The REST Plugin in Apache Struts 2.1.1 through 2.3.x before 2.3.34 and 2.5.x before 2.5.13 uses an XStreamHandler with an instance of XStream for deserialization without any type filtering, which can lead to Remote Code Execution when deserializing XML payloads.

CVE更新日: 2017-09-15 19:29:00.237000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.993960000

EPSS更新日: 2026-10-20 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2017-9805について、以下の観点から解説します。

1. 脆弱性の概要

1.1 概要

CVE-2017-9805は、Apache Struts 2のRESTプラグインに存在する、リモートコード実行 (RCE) の脆弱性です。この脆弱性はS2-052とも呼ばれます。Apache Struts RESTプラグインがXMLペイロードを処理する際に、XStreamHandlerがXStreamインスタンスを使用して逆シリアル化を行う際、型フィルタリングが適切に行われないことが原因です。これにより、攻撃者は細工されたXMLデータを送信することで、サーバー上で任意のコードを実行できる可能性があります。

1.2 影響

本脆弱性が悪用されると、攻撃者はApache Struts 2が動作するサーバー上で任意のコードを実行できる可能性があります。これにより、機密情報が漏洩したり、さらなる攻撃の足がかりにされたりする恐れがあります。本脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログにも追加されており、実際に悪用されていることが確認されています。

1.3 深刻度

  • CVSSv3スコア: 8.1 (High)
  • CVSSv2スコア: 6.8 (Medium)
  • Apache Software Foundationの評価: Critical (深刻)
  • EPSS (Exploit Prediction Scoring System) スコア: 99.0% または 0.99396。これは、今後30日以内に悪用される確率が非常に高いことを示唆しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されず、脆弱性のあるApache Struts 2を使用しているあらゆる環境が影響を受けます。

2.2 影響を受ける設定

  • Apache Struts 2のRESTプラグインを使用している環境。
  • 具体的には、以下のバージョンのApache Struts 2が影響を受けます:
    • Apache Struts 2.1.1 から 2.3.x (2.3.34未満)
    • Apache Struts 2.5.x (2.5.13未満)
  • Red Hat製品においては、Fuse Service Works 6.0.0およびSingle Sign On 7.3.0+のソースコードパッケージにstruts2-core.jarが含まれている場合、リスクがある可能性があります。

3. 影響を受けた時の兆候

CVE-2017-9805はリモートコード実行 (RCE) を引き起こす可能性があるため、以下のような兆候が考えられますが、直接的な具体的な兆候の記述は検索結果にはありませんでした。 * サーバー上で異常なプロセスが実行されている。 * 通常とは異なるネットワーク通信が発生している。 * Webアプリケーションのログに、異常なXMLペイロードを含むHTTP POSTリクエストなどの不審なアクセス記録がある。 * 「S2-052」や「CVE-2017-9805」の悪用を試みるログが出力される。

4. 推奨対策

4.1 本対策

  • Apache Struts 2のアップデート: 脆弱性が修正されたバージョンにアップデートすることが最も重要な対策です。具体的には、Apache Struts 2.3.34以降、または2.5.13以降に更新してください。
  • Oracleからも本脆弱性を含むセキュリティアラートが発行されており、修正パッチの遅滞ない適用が強く推奨されています。

4.2 暫定回避策（緩和策）

直ちにアップデートが困難な場合、以下の回避策を検討してください。 * RESTプラグインの削除: RESTプラグインを使用していない場合は、プラグインを削除することで脆弱性の影響を排除できます。 * XMLリクエストの制限: XML形式のリクエストを受け付けないように制限する設定を行うことで、攻撃経路を遮断できる可能性があります。 * 設定ファイルの変更: RESTプラグイン内のstruts-plugin.xml設定ファイルに、Apache Struts公式ウェブサイト (https://struts.apache.org/docs/s2-052.html) で提供されている解決策に従って内容を追加することで、脆弱性の影響を軽減できる可能性があります。 * WAF/IPSの導入: Web Application Firewall (WAF) や侵入防御システム (IPS) を導入し、本脆弱性を悪用する通信パターンを検出・ブロックする設定を行うことも有効です。FortiGateのIPSシグネチャが本脆弱性に対応しています。

その他解説すべき観点

  • 公開日: 本脆弱性 (S2-052) は、2017年9月5日にApache Software Foundationから情報が公開されました。
  • Equifax侵害との関連: 一時期、米国の信用情報会社Equifaxの広範囲な情報漏洩事件が本脆弱性に関連しているとの報道がありましたが、Apache Software Foundationは2017年9月9日に、この情報漏洩とCVE-2017-9805のパッチは関連しないと声明を発表しています。Equifaxの件は、別のStruts 2の脆弱性 (CVE-2017-5638) に関連するとされています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る