Hitach Incident Response Team

　4月27日までに明らかになった脆弱性情報のうち、気になるものを紹介します。それぞれ、ベンダーが提供する情報などを参考に対処してください。

Struts 2.3.16.2リリース（2014/04/25）

　WebアプリケーションフレームワークStrutsのバージョン2.3.16.2がリリースされました。バージョン2.3.16.2では、ParametersInterceptorからClassLoaderの操作を許してしまう脆弱性（CVE-2014-0094）、CVE-2014-0094の修正漏れによる脆弱性（CVE-2014-0112）、CookieInterceptorからClassLoaderの操作を許してしまう脆弱性（CVE-2014-0113）を解決しています。

　また4月29日、Apache Struts project teamにおいて、Strutsのバージョン1.xにもClassLoaderの操作を許してしまう脆弱性の存在が確認され、新たな脆弱性識別番号（CVE-2014-0114）が割り当てられました（図1）。

図1●脆弱性（CVE-2014-0094）の対応経緯

米アップル製品

■Apple TV 6.1.1リリース（2014/04/22）

　Apple TV 6.1.1では、任意のコード実行、サービス拒否攻撃、情報漏洩を許してしまう脆弱性19件を解決しています。任意のコード実行を許してしまう脆弱性は16件で、WebKitコンポーネントに存在するメモリー破損に起因しています。情報漏洩は、HTTPヘッダーのSet-Cookie処理、カーネルのアドレス空間配置のランダム化、SSL/TLSの再ネゴシエーション時のX.509サーバー証明書の検証に関するものです。