脅威動向 2026-10-30（金）配信

Apache Struts 2 RESTプラグインに脆弱性、JVNが注意喚起

Apache Software Foundationが提供するApache Struts 2のRESTプラグインにおいて、Jacksonの@JsonAnySetterが指定されたフィールドやメソッドに対して@StrutsParameterの制限が適用されない脆弱性が公表されました。JVNが注意喚起を実施しています。

脅威の概要

Apache Struts 2のRESTプラグインにおいて、JSONやXMLのリクエストボディからオブジェクトへのデシリアライズ処理時に、Jacksonの@JsonAnySetterが指定されたフィールドやメソッドに対して@StrutsParameterによる認可検証が行われない問題が存在します。これにより、データの改ざんにつながるおそれがあります。

対象となる組織・利用者

Apache Struts 2 バージョン7.2.1から7.3.0を使用しており、RESTプラグインおよび@JsonAnySetterを利用している組織。

推奨される防御アクション

バージョン7.4.0およびそれ以降の最新版にアップデートする

アップデート後に「struts.rest.anySetter.requireAnnotations=true」を設定し、any-setterとして利用する各メソッドに「@StrutsParameter(allowDynamicKeys = true)」アノテーションを付与する

RESTのパラメータが注入されるActionやModelクラスで「@JsonAnySetter」アノテーションを用いない、または値を格納する前にアプリケーション側で検証する

出典：https://jvn.jp/jp/JVN82782759/

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →