Trusted Design

CVE-2018-11776 の詳細

CVEの情報

説明:
Apache Struts versions 2.3 to 2.3.34 and 2.5 to 2.5.16 suffer from possible Remote Code Execution when alwaysSelectFullNamespace is true (either by user or a plugin like Convention Plugin) and then: results are used with no namespace and in same time, its upper package have no or wildcard namespace and similar to results, same possibility when using url tag which doesn't have value and action set and in same time, its upper package have no or wildcard namespace.

CVE更新日: 2018-08-22 13:29:00.753000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999910000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2018-11776（S2-057）に関する調査結果は以下の通りです。

1. 脆弱性の概要

Apache Struts 2におけるリモートコード実行（RCE）の脆弱性です。これは、Apache Struts 2のコアにある式言語インジェクションの脆弱性であり、攻撃者が細工したHTTPリクエストを送信することで、ウェブサーバー上で任意のコードを実行できる可能性があります。

1.1 影響 本脆弱性が悪用された場合、遠隔の第三者によって、Apache Struts 2が動作するサーバー上で任意のOSコマンドやコードが実行される可能性があります。攻撃に成功すると、サーバーの制御権を奪われたり、サーバー内の情報が破壊、改ざん、漏えいしたりする可能性があります。

1.2 深刻度 Apache Software Foundationは本脆弱性の深刻度を「Critical（重大）」と評価しています。 NISTによるCVSSv3.1の基本スコアは8.1（HIGH）です。

2. 対象となる環境

Apache Struts 2を使用している環境が影響を受けます。

2.1 影響を受けるOSバージョン 直接的に特定のOSバージョンではなく、以下のApache Struts 2のバージョンが影響を受けます。

  • Apache Struts 2.3系: 2.3.34以前のバージョン
  • Apache Struts 2.5系: 2.5.16以前のバージョン
  • サポートされていない古いバージョンも影響を受ける可能性があります。

Struts 1系は2013年4月5日にサポートが終了しており、本脆弱性の対象外ですが、脆弱性対策の修正は実施されません。

2.2 影響を受ける設定 本脆弱性は、以下の条件の両方を満たす場合にリモートで任意のコードが実行される可能性があります。

  • alwaysSelectFullNamespaceフラグがtrueに設定されている場合（Convention Pluginなどのプラグインによってデフォルトでtrueになることもあります）。
  • Strutsの設定ファイル（struts.xmlなど）に、namespaceの値が指定されていないか、ワイルドカードnamespaceが指定されているactionタグまたはurlタグが含まれている場合。
    • 具体的には、namespaceが設定されていないresultsが使用され、その上位パッケージにnamespaceがないかワイルドカードnamespaceが設定されている場合。
    • または、valueとactionが設定されていないurlタグが使用され、その上位パッケージにnamespaceがないかワイルドカードnamespaceが設定されている場合。

3. 影響を受けた時の兆候

  • 攻撃者は、URLにOGNL式を挿入することで、サーバーの応答に余分な文字列を表示させたり、追加のヘッダーを付加させたりして、脆弱性の有無をプローブ（調査）することがあります。
  • 攻撃が成功すると、サーバー上でipconfig.exe、dir、cat /etc/passwd、/sbin/ifconfig、net users、whoami、idなどのOSコマンドが実行された形跡が見られることがあります。
  • 脆弱性が悪用され、暗号通貨マイナーがサーバーに展開される試みが検出されることがあります。

4. 推奨対策

4.1 本対策 Apache Software Foundationから、本脆弱性が修正されたバージョンが公開されています。十分なテストを実施の上、速やかに以下の修正済みバージョンへのアップデートを強く推奨します。

  • Apache Struts 2.3系: 2.3.35
  • Apache Struts 2.5系: 2.5.17

4.2 暫定回避策（緩和策） すぐにバージョンアップができない場合の暫定的な回避策として、以下の対応が挙げられますが、可能な限り早くバージョンアップを行うことが推奨されています。

  • Strutsの設定ファイル（struts.xmlなど）で、namespaceの値を明示的に設定する。
  • JSP内のすべてのurlタグに対してvalueまたはaction属性を明示的に設定する。
  • alwaysSelectFullNamespaceをfalseに設定する（ただし、検証によってはデフォルト設定でも攻撃が成功する可能性が示唆されている点に注意が必要です）。
  • ウェブアプリケーションファイアウォール（WAF）や侵入検知システム（IDS/IPS）を導入し、本脆弱性を悪用する攻撃パターンを検知・ブロックする対策を講じる。

参照したサイト

  • NVD-CVE-2018-11776 - NIST
  • Apache Struts 2におけるリモートコード実行に関する脆弱性（CVE-2018-11776）（S2-057）についての検証レポート - 株式会社NTTデータ先端技術
  • Apache Struts2の脆弱性を検証してみた (S2-057、CVE-2018-11776) - NRIセキュア
  • Strutting to Remote Code Execution Anatomy of CVE-2018-11776 - Keysight Blogs
  • Apache Struts2 の脆弱性対策について(CVE-2018-11776)(S2-057) - IPA
  • 脅威に関するダイジェスト: Apache Strutsの重大な脆弱性CVE-2018-11776について - Palo Alto Networks
  • Apache Struts Remote Code Execution (S2-057) - Vulnerabilities - Acunetix
  • Apache Struts 2 の脆弱性 (S2-057) に関する注意喚起 - JPCERT/CC
  • Apache Struts2にリモートコード実行(RCE)の脆弱性(S2-057 : CVE-2018-11776) - Qiita
  • Protection from Struts Remote Code Execution Vulnerability (S2-057) - Cloudflare Blog
  • EOL Fix Available | CVE-2018-11776 | Apache Struts - HeroDevs
  • Apache Struts 2に新たな脆弱性”CVE-2018-11776”。遠隔からコード実行の恐れ。 - ITmedia NEWS
  • 【注意喚起】Apache Struts 2 の脆弱性 (S2-057)について - GMOクラウド
  • SECURITY BULLETIN: Important Information about RCE in Apache Struts (CVE-2018-11776) and Trend Micro Products - Trend Micro
  • 【处置手册】Apache Struts 2 远程代码执行漏洞cve-2018-11776 - 绿盟科技技術博客
  • 「Struts 2」脆弱性、公開2日後には攻撃発生 - 攻撃者は1週間前から別の攻撃も展開 - Security NEXT
  • Apache Struts2 S2-057 远程代码执行漏洞 CVE-2018-11776.md - GitHub
  • シスコ製品に影響するApache Strutsのリモートコード実行の脆弱性：2018年8月 - Cisco
  • Struts2-057/CVE-2018-11776两个版本RCE漏洞分析（含EXP） - 安全KER
  • JVNDB-2018-006512 - JVN iPedia - 脆弱性対策情報データベース

NVDサイト

NVDでCVEの詳細を見る

戻る