Apache Strutsにおける式言語インジェクションによるリモートコード実行の脆弱性

Apache Strutsにおいて、式言語（OGNL）ステートメントで使用される特殊要素の不適切な無害化に起因する、式言語インジェクションの脆弱性が発見された。レガシーなRESTfulアクションマッパーを使用するように設定されている場合、攻撃者が細工したリクエストを送信することでOGNL式をインジェクトし、リモートで任意のコードを実行できる可能性がある。Struts 7系ではOGNLホワイトリストが無効な場合にのみ影響を受けるが、広範な旧バージョンが対象となっている。