Trusted Design

解説:

CVE-2016-3081について、以下の観点で解説します。

1. 脆弱性の概要

Apache Struts 2には、Dynamic Method Invocation (DMI) 機能に起因する脆弱性 (S2-032) が存在します。遠隔の攻撃者が細工したHTTPリクエストを送信することで、任意のコードを実行される可能性があります。この脆弱性は、OGNL (Object-Graph Navigation Language) 式の評価処理の不備を悪用したものです。

1.1 影響

DMIが有効な場合、この脆弱性を悪用されると、Strutsアプリケーションが動作しているサーバ上で遠隔から任意のコード（OGNLコード、実質的にはJavaコード）を実行される可能性があります。これにより、システムの乗っ取り、情報漏洩、改ざん、またはサービス停止などの深刻な被害が発生する恐れがあります。また、アプリケーションがクラッシュする可能性も指摘されています。

1.2 深刻度

この脆弱性の深刻度は「高 (High)」と評価されています。CVSSv3 Base Scoreは7.3です。一部の機関ではCVSS 8.1 (High/Critical) と評価されています。 CISA (Cybersecurity and Infrastructure Security Agency) のKEV (Known Exploited Vulnerabilities) カタログに登録されており、活発に悪用されていることが確認されています。EPSS (Exploit Prediction Scoring System) は93.4%と高く、攻撃が実際に発生する可能性が高いことを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はApache Struts 2の脆弱性であり、特定のOSバージョンに限定されるものではありません。Apache Struts 2が動作する任意のOS環境が影響を受ける可能性があります。攻撃が成功した場合、Strutsアプリケーションを実行しているアプリケーションサーバの実行権限で任意のコードが実行されます。

2.2 影響を受ける設定

• 対象製品: Apache Struts 2.3.20 から 2.3.28 まで (ただし、2.3.20.3 および 2.3.24.3 は除く)
• 前提条件: Dynamic Method Invocation (DMI) 機能が有効になっている場合
  • Apache Struts 2.3.15.2 以降のバージョンでは、DMIはデフォルトで無効になっています。
  • 設定ファイル (例: struts.xml) で struts.enable.DynamicMethodInvocation = false となっているか確認することで、DMIの有効/無効を確認できます。
• 関連製品:
  • Oracle FLEXCUBE Private Banking 2.0.0, 2.0.1, 2.2.0, 12.1.0
  • Siebel Apps - E-Billing 7.1

3. 影響を受けた時の兆候

• 不審なHTTPリクエストがサーバに対して送信されていることがログ等で確認される。
• 警察庁の定点観測システムや国内のセキュリティオペレーションセンター (SOC) において、本脆弱性を狙ったと思われるアクセスや攻撃、実際の被害が観測されています。
• サーバ上で身に覚えのないプロセスが実行されている、または不審なファイルが作成されている。
• アプリケーションが予期せずクラッシュする。
• 攻撃元として中国や米国からのアクセスが確認されています。

4. 推奨対策

4.1 本対策

Apache Struts 2 を以下の修正済みバージョンにアップデートしてください。

• Apache Struts 2.3.20.3
• Apache Struts 2.3.24.3
• Apache Struts 2.3.28.1

4.2 暫定回避策（緩和策）

即時のアップデートが困難な場合は、以下のいずれかの回避策を検討してください。

• Dynamic Method Invocation (DMI) 機能の無効化: struts.xml などの設定ファイルにおいて、struts.enable.DynamicMethodInvocation = false を設定し、DMI機能を無効にしてください。
• WAF (Web Application Firewall) の導入: WAFを導入し、OGNLインジェクション防御機能や、本脆弱性を狙った攻撃パターンを検知・遮断するルールを適用してください。
• ActionMapper の独自実装: 最新版の Apache Struts 2 のソースコードをもとに、独自に ActionMapper を実装することで影響を軽減できる場合があります。

参照したサイト

• Apache Struts2 の脆弱性 (CVE-2016-3081)についてまとめてみた - piyolog
• Apache Struts 2 の脆弱性について(CVE-2016-3081) | WingArc1st - カスタマーサクセスサイト
• Apache Struts 2 の脆弱性 (S2-032) に関する注意喚起 - JPCERT コーディネーションセンター
• Apache Struts2に深刻な脆弱性、アップデートや回避策の実施を推奨 - ITmedia
• 「Apache Struts 2」脆弱性、国内複数SOCで攻撃検知 - すでに被害も - Security NEXT
• CVE-2016-3081 Oracle FLEXCUBE Private Banking Struts 特権昇格
• CVE-2016-3081 | Threat Intelligence - Cyberbox Security
• JVNDB-2016-002326 - JVN iPedia - 脆弱性対策情報データベース
• CVE-2016-3081 — Patch first | CVE Explorer | Peter Bassill
• 3．業界内/間の連携によるセキュリティ対策が強化される(その2) - NTTテクノクロス
• CVE-2016-3081 S2-032 远程代码执行漏洞 - 腾讯云
• Apache Struts2の脆弱性（S2-032）を狙った攻撃と「SiteGuard ...
• Apache Struts2脆弱性への対応（S2-066、CVE-2023-50164等） - WAF 『Scutum』
• [日本語: Japanese] Apache Struts2 S2-032 CVE-2016-3081 DMI ...
• 「Apache Struts 2」の脆弱性への攻撃確認、送信元は中国や米国（日本IBM） | ScanNetSecurity
• CVE-2016-3081 exploited: patch Apache Struts now - Senserva
• CVE-2016-3081 Detail - NVD
• OGNL の実行に起因する Struts 2 の脆弱性に対する ... - 情報学広場
• S2-032 远程代码执行漏洞（CVE-2016-3081） | joker0xxx3's Blog
• 警察庁、中国政府関連企業ITGが支援するサイバー攻撃に注意喚起―日本の空港も脆弱性スキャンの対象に - 合同会社ロケットボーイズ
• Apache Struts - Dynamic Method Invocation Remote Code Execution (Metasploit)
• Apache Struts2の脆弱性（S2-032/CVE-2016-3081）を利用した攻撃に対応いたしました。
• ApacheStruts2の脆弱性(S2-032)に関するInfoCageSiteShellの対応について: Webアプリケーションファイアウォール(WAF) InfoCage SiteShell | NEC