NVD脆弱性詳細

CVE-2016-3081

概要	Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions.
公表日	2016年4月26日23:59
登録日	2021年1月26日14:10
最終更新日	2024年11月21日11:49

CVSS3.0 : HIGH
スコア	8.1
ベクター	CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	高
攻撃に必要な特権レベル(PR)	不要
利用者の関与(UI)	不要
影響の想定範囲(S)	変更なし
機密性への影響(C)	高
完全性への影響(I)	高
可用性への影響(A)	高

CVSS2.0 : HIGH
スコア	9.3
ベクター	AV:N/AC:M/Au:N/C:C/I:C/A:C
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	中
攻撃前の認証要否(Au)	不要
機密性への影響(C)	高
完全性への影響(I)	高
可用性への影響(A)	高
全ての特権を取得	いいえ
ユーザー権限を取得	いいえ
その他の権限を取得	いいえ
ユーザー操作が必要	いいえ

影響を受けるソフトウェアの構成

構成1	以上	以下	より上	未満
cpe:2.3:a:apache:struts:2.3.1.1:::::::*
cpe:2.3:a:apache:struts:2.0.9:::::::*
cpe:2.3:a:apache:struts:2.0.12:::::::*
cpe:2.3:a:apache:struts:2.2.3.1:::::::*
cpe:2.3:a:apache:struts:2.3.28:::::::*
cpe:2.3:a:apache:struts:2.1.0:::::::*
cpe:2.3:a:apache:struts:2.3.15:::::::*
cpe:2.3:a:apache:struts:2.0.0:::::::*
cpe:2.3:a:apache:struts:2.3.14:::::::*
cpe:2.3:a:apache:struts:2.0.8:::::::*
cpe:2.3:a:apache:struts:2.0.7:::::::*
cpe:2.3:a:apache:struts:2.0.4:::::::*
cpe:2.3:a:apache:struts:2.2.1:::::::*
cpe:2.3:a:apache:struts:2.3.16:::::::*
cpe:2.3:a:apache:struts:2.3.24.1:::::::*
cpe:2.3:a:apache:struts:2.1.8.1:::::::*
cpe:2.3:a:apache:struts:2.3.3:::::::*
cpe:2.3:a:apache:struts:2.3.16.3:::::::*
cpe:2.3:a:apache:struts:2.3.4:::::::*
cpe:2.3:a:apache:struts:2.1.3:::::::*
cpe:2.3:a:apache:struts:2.1.2:::::::*
cpe:2.3:a:apache:struts:2.1.5:::::::*
cpe:2.3:a:apache:struts:2.0.1:::::::*
cpe:2.3:a:apache:struts:2.3.15.2:::::::*
cpe:2.3:a:apache:struts:2.3.14.3:::::::*
cpe:2.3:a:apache:struts:2.0.2:::::::*
cpe:2.3:a:apache:struts:2.1.8:::::::*
cpe:2.3:a:apache:struts:2.3.4.1:::::::*
cpe:2.3:a:apache:struts:2.3.20.1:::::::*
cpe:2.3:a:apache:struts:2.0.11.1:::::::*
cpe:2.3:a:apache:struts:2.3.8:::::::*
cpe:2.3:a:apache:struts:2.3.7:::::::*
cpe:2.3:a:apache:struts:2.3.24:::::::*
cpe:2.3:a:apache:struts:2.0.3:::::::*
cpe:2.3:a:apache:struts:2.3.14.2:::::::*
cpe:2.3:a:apache:struts:2.0.14:::::::*
cpe:2.3:a:apache:struts:2.3.15.1:::::::*
cpe:2.3:a:apache:struts:2.3.1:::::::*
cpe:2.3:a:apache:struts:2.0.11:::::::*
cpe:2.3:a:apache:struts:2.3.16.2:::::::*
cpe:2.3:a:apache:struts:2.1.6:::::::*
cpe:2.3:a:apache:struts:2.0.5:::::::*
cpe:2.3:a:apache:struts:2.2.3:::::::*
cpe:2.3:a:apache:struts:2.3.12:::::::*
cpe:2.3:a:apache:struts:2.1.4:::::::*
cpe:2.3:a:apache:struts:2.2.1.1:::::::*
cpe:2.3:a:apache:struts:2.0.11.2:::::::*
cpe:2.3:a:apache:struts:2.0.13:::::::*
cpe:2.3:a:apache:struts:2.3.1.2:::::::*
cpe:2.3:a:apache:struts:2.3.20:::::::*
cpe:2.3:a:apache:struts:2.3.15.3:::::::*
cpe:2.3:a:apache:struts:2.3.16.1:::::::*
cpe:2.3:a:apache:struts:2.1.1:::::::*
cpe:2.3:a:apache:struts:2.0.6:::::::*
cpe:2.3:a:apache:struts:2.0.10:::::::*
cpe:2.3:a:apache:struts:2.3.14.1:::::::*

構成2		以上	以下	より上	未満
cpe:2.3:a:oracle:siebel_e-billing:7.1:::::::*

関連情報、対策とツール

No	URL	タグ
1	http://packetstormsecurity.com/files/136856/Apache-Struts-2.3.28-Dynamic-Method-Invocation-Remote-Code-Execution.html	Exploit Third Party Advisory
2	http://packetstormsecurity.com/files/136856/Apache-Struts-2.3.28-Dynamic-Method-Invocation-Remote-Code-Execution.html	Exploit Third Party Advisory
3	http://www.huawei.com/en/psirt/security-advisories/huawei-sa-20160527-01-struts2-en
4	http://www.huawei.com/en/psirt/security-advisories/huawei-sa-20160527-01-struts2-en
5	http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html	Patch Third Party Advisory
6	http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html	Patch Third Party Advisory
7	http://www.oracle.com/technetwork/security-advisory/cpuoct2016-2881722.html	Vendor Advisory
8	http://www.oracle.com/technetwork/security-advisory/cpuoct2016-2881722.html	Vendor Advisory
9	http://www.rapid7.com/db/modules/exploit/linux/http/struts_dmi_exec	Third Party Advisory
10	http://www.rapid7.com/db/modules/exploit/linux/http/struts_dmi_exec	Third Party Advisory
11	http://www.rapid7.com/db/modules/exploit/multi/http/struts_dmi_exec
12	http://www.rapid7.com/db/modules/exploit/multi/http/struts_dmi_exec
13	http://www.securityfocus.com/bid/87327
14	http://www.securityfocus.com/bid/87327
15	http://www.securityfocus.com/bid/91787	Third Party Advisory VDB Entry
16	http://www.securityfocus.com/bid/91787	Third Party Advisory VDB Entry
17	http://www.securitytracker.com/id/1035665	Third Party Advisory VDB Entry
18	http://www.securitytracker.com/id/1035665	Third Party Advisory VDB Entry
19	https://struts.apache.org/docs/s2-032.html	Patch Vendor Advisory
20	https://struts.apache.org/docs/s2-032.html	Patch Vendor Advisory
21	https://www.exploit-db.com/exploits/39756/
22	https://www.exploit-db.com/exploits/39756/

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-77	コマンドインジェクション	https://cwe.mitre.org/data/definitions/77.html

JVN脆弱性情報

Apache Struts2 に任意のコード実行の脆弱性

タイトル	Apache Struts2 に任意のコード実行の脆弱性
概要	Apache Struts2 には、任意のコードを実行可能な脆弱性が存在します。 Apache Struts2 には、Dynamic Method Invocation を有効にしている場合、任意のコードを実行可能な脆弱性が存在します。なお、本脆弱性を使用した proof-of-concept コードが公開されています。 National Vulnerability Database (NVD) では、CWE-77 として公開されています。 CWE-77: Improper Neutralization of Special Elements used in a Command (コマンドインジェクション) http://cwe.mitre.org/data/definitions/77.html
想定される影響	遠隔の第三者によって、当該製品が動作しているサーバ上で任意のコードを実行される可能性があります。
対策	[アップデートする] 開発者が提供する情報をもとに、最新版へアップデートしてください。本脆弱性は Apache Struts 2.3.20.3、2.3.24.3、2.3.28.1 で修正されています。 [ワークアラウンドを実施する] 次のワークアラウンドを実施することで、本脆弱性の影響を軽減することが可能です。　* Dynamic Method Invocation (DMI) を無効にする、または最新版の Apache Strust2 のソースコードをもとに独自に ActionMapper を実装する
公表日	2016年4月27日0:00
登録日	2016年4月28日11:42
最終更新日	2016年11月22日16:17

影響を受けるシステム

Apache Software Foundation

Apache Struts 2.3.20 から 2.3.28 まで (Struts 2.3.20.3 および Struts 2.3.24.3 を除く)

オラクル

MICROS Retail XBRi Loss Prevention 10.0.1

MICROS Retail XBRi Loss Prevention 10.5.0

MICROS Retail XBRi Loss Prevention 10.6.0

MICROS Retail XBRi Loss Prevention 10.7.0

MICROS Retail XBRi Loss Prevention 10.8.0

MICROS Retail XBRi Loss Prevention 10.8.1

Oracle FLEXCUBE Private Banking 12.0.1

Oracle FLEXCUBE Private Banking 12.0.3

Oracle FLEXCUBE Private Banking 12.1.0

Oracle FLEXCUBE Private Banking 2.0.0

Oracle FLEXCUBE Private Banking 2.0.1

Oracle FLEXCUBE Private Banking 2.2.0

Siebel の Siebel Apps - E-Billing 7.1

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2016-3081	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3081
National Vulnerability Database (NVD)
2	CVE-2016-3081	https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3081

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-Other	https://www.ipa.go.jp/security/vuln/CWE.html#CWEOther

ベンダー情報

No	名前	URL
Apache Struts 2 Documentation
1	S2-032: Remote Code Execution can be performed via method: prefix when Dynamic Method Invocation is enabled.	http://struts.apache.org/docs/s2-032.html
Oracle Critical Patch Update
2	Oracle Critical Patch Update Advisory - July 2016	http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html
3	Oracle Critical Patch Update Advisory - October 2016	http://www.oracle.com/technetwork/security-advisory/cpuoct2016-2881722.html
4	Text Form of Oracle Critical Patch Update - July 2016 Risk Matrices	http://www.oracle.com/technetwork/topics/security/cpujul2016verbose-2881721.html
5	Text Form of Oracle Critical Patch Update - October 2016 Risk Matrices	http://www.oracle.com/technetwork/security-advisory/cpuoct2016verbose-2881725.html
SECURITY BLOG
6	July 2016 Critical Patch Update Released	https://blogs.oracle.com/security/entry/july_2016_critical_patch_update
7	October 2016 Critical Patch Update Released	https://blogs.oracle.com/security/entry/october_2016_critical_patch_update

その他

No	名前	URL
IPA 重要なセキュリティ情報
1	Apache Struts2 の脆弱性対策について(CVE-2016-3081)(S2-032)	https://www.ipa.go.jp/security/ciadr/vul/20160427-struts.html
JPCERT 注意喚起
2	JPCERT-AT-2016-0020	https://www.jpcert.or.jp/at/2016/at160020.html
JVN
3	JVNVU#91375252	http://jvn.jp/cert/JVNVU91375252
関連文書
4	安恒安全研究院	http://seclab.dbappsecurity.com.cn/?p=924

変更履歴

No	変更内容	変更日
0	[2016年04月28日] 掲載 [2016年07月27日] 概要：内容を更新 CVSS による深刻度：内容を更新 CWE による脆弱性タイプ一覧：CWE-ID を追加参考情報：National Vulnerability Database (NVD) (CVE-2016-3081) を追加影響を受けるシステム：ベンダ情報の追加に伴い内容を更新ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - July 2016) を追加ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - July 2016 Risk Matrices) を追加ベンダ情報：オラクル (July 2016 Critical Patch Update Released) を追加 [2016年11月22日] 影響を受けるシステム：ベンダ情報の追加に伴い内容を更新ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - October 2016) を追加ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - October 2016 Risk Matrices) を追加ベンダ情報：オラクル (October 2016 Critical Patch Update Released) を追加	2018年2月17日10:37

構成1	以上	以下	より上	未満
cpe:2.3:a:apache:struts:2.3.1.1:::::::*
cpe:2.3:a:apache:struts:2.0.9:::::::*
cpe:2.3:a:apache:struts:2.0.12:::::::*
cpe:2.3:a:apache:struts:2.2.3.1:::::::*
cpe:2.3:a:apache:struts:2.3.28:::::::*
cpe:2.3:a:apache:struts:2.1.0:::::::*
cpe:2.3:a:apache:struts:2.3.15:::::::*
cpe:2.3:a:apache:struts:2.0.0:::::::*
cpe:2.3:a:apache:struts:2.3.14:::::::*
cpe:2.3:a:apache:struts:2.0.8:::::::*
cpe:2.3:a:apache:struts:2.0.7:::::::*
cpe:2.3:a:apache:struts:2.0.4:::::::*
cpe:2.3:a:apache:struts:2.2.1:::::::*
cpe:2.3:a:apache:struts:2.3.16:::::::*
cpe:2.3:a:apache:struts:2.3.24.1:::::::*
cpe:2.3:a:apache:struts:2.1.8.1:::::::*
cpe:2.3:a:apache:struts:2.3.3:::::::*
cpe:2.3:a:apache:struts:2.3.16.3:::::::*
cpe:2.3:a:apache:struts:2.3.4:::::::*
cpe:2.3:a:apache:struts:2.1.3:::::::*
cpe:2.3:a:apache:struts:2.1.2:::::::*
cpe:2.3:a:apache:struts:2.1.5:::::::*
cpe:2.3:a:apache:struts:2.0.1:::::::*
cpe:2.3:a:apache:struts:2.3.15.2:::::::*
cpe:2.3:a:apache:struts:2.3.14.3:::::::*
cpe:2.3:a:apache:struts:2.0.2:::::::*
cpe:2.3:a:apache:struts:2.1.8:::::::*
cpe:2.3:a:apache:struts:2.3.4.1:::::::*
cpe:2.3:a:apache:struts:2.3.20.1:::::::*
cpe:2.3:a:apache:struts:2.0.11.1:::::::*
cpe:2.3:a:apache:struts:2.3.8:::::::*
cpe:2.3:a:apache:struts:2.3.7:::::::*
cpe:2.3:a:apache:struts:2.3.24:::::::*
cpe:2.3:a:apache:struts:2.0.3:::::::*
cpe:2.3:a:apache:struts:2.3.14.2:::::::*
cpe:2.3:a:apache:struts:2.0.14:::::::*
cpe:2.3:a:apache:struts:2.3.15.1:::::::*
cpe:2.3:a:apache:struts:2.3.1:::::::*
cpe:2.3:a:apache:struts:2.0.11:::::::*
cpe:2.3:a:apache:struts:2.3.16.2:::::::*
cpe:2.3:a:apache:struts:2.1.6:::::::*
cpe:2.3:a:apache:struts:2.0.5:::::::*
cpe:2.3:a:apache:struts:2.2.3:::::::*
cpe:2.3:a:apache:struts:2.3.12:::::::*
cpe:2.3:a:apache:struts:2.1.4:::::::*
cpe:2.3:a:apache:struts:2.2.1.1:::::::*
cpe:2.3:a:apache:struts:2.0.11.2:::::::*
cpe:2.3:a:apache:struts:2.0.13:::::::*
cpe:2.3:a:apache:struts:2.3.1.2:::::::*
cpe:2.3:a:apache:struts:2.3.20:::::::*
cpe:2.3:a:apache:struts:2.3.15.3:::::::*
cpe:2.3:a:apache:struts:2.3.16.1:::::::*
cpe:2.3:a:apache:struts:2.1.1:::::::*
cpe:2.3:a:apache:struts:2.0.6:::::::*
cpe:2.3:a:apache:struts:2.0.10:::::::*
cpe:2.3:a:apache:struts:2.3.14.1:::::::*