読者です 読者をやめる 読者になる 読者になる

てきとうなメモ

本の感想とか技術メモとか

Struts1にも脆弱性

Security

struts 1.3.10のソースコードを見つつ、ここかなという部分を見つける。OGNL使っていないけどBeanUtils使って似たようなことやってるしな〜

対策は

不正な文字列がパラメータに含まれる場合(正規表現:「(^|\\W)[cC]lass\\W」に合致するパラメータ名が含まれる場合等)にリクエストを拒否するフィルタ機能を実装する。

で、良いのだと思う。

(追記)マルチパートリクエスト経由で攻撃できそうなので、フィルタだけでは微妙かも。StrutsのRequestUtilsの該当部分のパッチを書いた方が良いかも→マルチパートもフィルタで対処できるか

(追記2)パッチの作り安さ、根本的に解決できるという点からいくとcommons-beanutilsのパッチを書いた方が良いか