「セキュリティ企業がStrutsの未修正の脆弱性情報とそのパッチを公開、議論になる」記事へのコメント

さーて、どう直すか

[Anonymous Coward]

サポートが終了している以上、自己責任による対処が大原則。自分でソースをいじるしかないわけですが。

Struts側にあれこれ手を加えるより、Apache CommonsのBeanUtilsのほうを修正したほうがよさげかな。"class"というプロパティでObject#getClass()を呼び出せてしまう、という挙動を殺すのが一番てっとりばやいか。

Re:さーて、どう直すか

[Anonymous Coward]

commons-beanutils.jarの

public static Object getSimpleProperty(Object bean, String name)

に

if (name.equals("class") || name.equals("Class")) throw new IllegalArgumentException("`class` property");

を追加したら、POCは動かなくなった。これでいくか。

Re:さーて、どう直すか

[tnk (13707)]

あ、クラスはorg.apache.commons.beanutils.PropertyUtilsね。

Re:

[Anonymous Coward]

うちも大体同じ。以下のものも参考にして、他の穴も潰した。Servletオブジェクトに触れる（？）とか、怖いので。

http://enterprisegeeks.hatenablog.com/entry/2014/04/28/205723 [hatenablog.com]

Re:

[Anonymous Coward]

これStrutsだけの問題かと思いきや、BeanUtils使ってるフレームワークは全部起きる可能性があるということで、そこらじゅうに延焼してる雰囲気。
Struts1やBeanUtilsなんて枯れきってると思ってたのにヤバい。