NVD Vulnerability Detail

CVE-2016-4438

Summary	The REST plugin in Apache Struts 2 2.3.19 through 2.3.28.1 allows remote attackers to execute arbitrary code via a crafted expression.
Publication Date	July 5, 2016, 7:59 a.m.
Registration Date	Jan. 26, 2021, 2:12 p.m.
Last Update	Nov. 21, 2024, 11:52 a.m.

Affected software configurations

Related information, measures and tools

No	URL	タグ
1	http://jvn.jp/en/jp/JVN07710476/index.html	Vendor Advisory
2	http://jvn.jp/en/jp/JVN07710476/index.html	Vendor Advisory
3	http://jvndb.jvn.jp/jvndb/JVNDB-2016-000110	VDB Entry Vendor Advisory
4	http://jvndb.jvn.jp/jvndb/JVNDB-2016-000110	VDB Entry Vendor Advisory
5	http://www.oracle.com/technetwork/security-advisory/cpujul2017-3236622.html
6	http://www.oracle.com/technetwork/security-advisory/cpujul2017-3236622.html
7	http://www.securityfocus.com/bid/91275	Third Party Advisory
8	http://www.securityfocus.com/bid/91275	Third Party Advisory
9	https://bugzilla.redhat.com/show_bug.cgi?id=1348238	Issue Tracking Third Party Advisory VDB Entry
10	https://bugzilla.redhat.com/show_bug.cgi?id=1348238	Issue Tracking Third Party Advisory VDB Entry
11	https://struts.apache.org/docs/s2-037.html	Vendor Advisory
12	https://struts.apache.org/docs/s2-037.html	Vendor Advisory

Common Vulnerabilities List

No	CWE	Name	URL
1	CWE-20	不適切な入力確認	https://cwe.mitre.org/data/definitions/20.html

JVN Vulnerability Information

Apache Struts において任意のコードを実行可能な脆弱性

Title	Apache Struts において任意のコードを実行可能な脆弱性
Summary	Apache Software Foundation が提供する Apache Struts は、Java のウェブアプリケーションを開発するためのソフトウェアフレームワークです。Apache Struts の REST Plugin を使用して開発された Web アプリケーションには、任意のコードを実行可能な脆弱性が存在します。なお、本脆弱性を使用した攻撃コードが公開されています。この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。報告者: 株式会社ビットフォレスト野村真作氏
Possible impacts	遠隔の第三者によって、任意のコードを実行される可能性があります。
Solution	[アップデートする] 開発者が提供する情報をもとに最新版へアップデートしてください。
Publication Date	June 20, 2016, midnight
Registration Date	June 20, 2016, 3:13 p.m.
Last Update	Aug. 3, 2016, 4:11 p.m.

Affected System

Apache Software Foundation

Apache Struts 2.3.20 から 2.3.28.1 まで

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2016-4438	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-4438
National Vulnerability Database (NVD)
2	CVE-2016-4438	https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-4438

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-20	https://jvndb.jvn.jp/ja/cwe/CWE-20.html

ベンダー情報

No	Name	URL
Apache Struts 2 Documentation
1	S2-037 - Remote Code Execution can be performed when using REST Plugin.	https://struts.apache.org/docs/s2-037.html
Red Hat Bugzilla
2	Bug 1348238	https://bugzilla.redhat.com/show_bug.cgi?id=1348238

その他

No	Name	URL
IPA 重要なセキュリティ情報
1	「Apache Struts」において任意のコードを実行可能な脆弱性対策について(JVN#07710476)	https://www.ipa.go.jp/security/ciadr/vul/20160620-jvn.html
JVN
2	JVN#07710476	https://jvn.jp/jp/JVN07710476/index.html

Change Log

No	Changed Details	Date of change
0	[2016年06月20日] 掲載 [2016年06月23日] 参考情報：IPA 重要なセキュリティ情報 (「Apache Struts」において任意のコードを実行可能な脆弱性対策について(JVN#07710476) ) を追加 [2016年08月03日] 参考情報：National Vulnerability Database (NVD) (CVE-2016-4438) を追加ベンダ情報：レッドハット (Bug 1348238) を追加	Feb. 17, 2018, 10:37 a.m.