話題のStruts2脆弱性、あなたのWebサイトは大丈夫ですか？

大きな被害をもたらした、Apache Struts2脆弱性を狙った集中攻撃。従来の対応スピードでは間に合わない！Webサイトの防御力を高めるには？

被害件数の多さ

まず注目されたのは、その被害件数の多さです。Apache Struts2は2007年のリリース以来、Webアプリケーション用フレームワークとして人気を博し、高い信頼性が要求されるシステムやWebサイトにも広く採用されていた経緯があり、現在も継続して利用し続けているWebサイトが数多く存在しています。

わずかな対応遅れが致命的に

最近では、脆弱性が公表されてから実際の攻撃が来るまでのインターバルが非常に短くなってきており、2017年3月のStruts2一斉攻撃でも、わずかにアップデートの対応が遅れたWebサイトが軒並み標的となってしまいました。管理者が朝出社してパッチや新バージョンを認識したときにはすでに遅い、という悪夢が現実のものとなりつつあるのです。

繰り返す、Struts2脆弱性問題

Struts2の脆弱性は、システム管理者が「またか…」と思ってしまうほど、何度も繰り返し報告されてきました。IPAから注意喚起が行われた脆弱性だけでも2016年4月から2017年3月までの1年間で4件を数えるなど、主要なフレームワーク/ミドルウェアの中でもかなり頻度が高いと言わざるを得ません。

参考：IPA 独立行政法人情報処理推進機構：Apache Struts2 の脆弱性対策情報一覧

なぜ、Struts2の脆弱性問題は繰り返し起こるのか？

Struts2の脆弱性が頻発する大きな理由として、Struts2に搭載されたOGNLと呼ばれる機能の存在が挙げられます。OGNLはJavaのアプリケーション上で動的パラメータを扱うための大変便利な仕組みですが、その高い自由度ゆえに、攻撃者がOGNLへのインジェクションに成功した場合、リモートからJavaの任意のコードを実行できてしまうこととなります（OGNLインジェクション攻撃）。
OGNLはStruts2の随所で活用されていることから、様々なバリエーションとしてこれまで何度も脆弱性が報告されてきました。今後も、OGNLがStruts2の主要機能の一つであり続け、OGNLインジェクションに対する根本的な対策がなされない限り、別の箇所で同様の脆弱性が発見されて攻撃を受ける可能性を完全になくすことは難しいと言えそうです。

さらに詳しくScutum技術者ブログ：「Struts2が危険である理由」

実は、脆弱性診断でも十分には防げない

オープンソースとして開発されているStruts2は、新バージョンが公開される前にあらかじめ脆弱性診断を実施することができません。また、前述したように、脆弱性が公表されてから実際に攻撃が開始されるまでの期間が短くなってきていることから、その間に診断を実施することも現実的ではありません。
脆弱性診断サービスの内容にもよりますが、外部で開発や脆弱性対応が進められているフレームワーク特有の問題として、脆弱性診断のみに頼ったセキュリティ対策ではどうしても後手に回ってしまうこととなります。

さらに詳しくStruts2への現実的な対策は脆弱性診断？WAF？（SST Webサイト）

脆弱性が頻繁に報告され、実際の被害も多数発生しているStruts2。
これから新規でWebサイトを立ち上げる際は、Struts2を「使わない」。
また、使用を続けているシステムやWebサイトについては、早い段階で別のフレームワークへ「切り替える」など、
“できるだけStrutsを避ける”ことが本来望ましい対応といえます。