仕様のWebアプリケーションフレームワークです。手軽に素早くWebサイトを構築できるため、広く利用されています。手軽にWebサイトを構築することだけを目的に導入されたソフトウェアは、運用が疎かになっており脆弱性が未修正のままであることがあります。Strutsの脆弱性に関するセキュリティアドバイザリと関連ニュースをご紹介します。OSベンダーやアプリケーションベンダーが発表するセキュリティアドバイザリやリリース情報などは、システムの脆弱性管理を行う上で重要かつ必要な情報です。(旧CIAC)、IPA、JPCERT/CCなどの機関から発表される注意喚起などの情報も、脆弱性の脅威や影響を判断するために役立ちます。OSベンダーやアプリケーションベンダーが発表するセキュリティアドバイザリの発表形式や発表方法は、それぞれに異なっていますので複数のOSやアプリケーションを利用している場合は、その分の手間が必要となります。StrutsからのアドバイザリやインターネットニュースやJPCERT/CCなどの機関から発せられたセキュリティ情報に触れた場合、疑問となるのが自分が管理するシステムに影響する脆弱性なのか、ということです。実際のところ、自分のシステムへの脆弱性の影響の有無を判断するためには、アドバイザリや注意喚起を知る前に、システムで利用しているOSやアプリケーションのバージョンや構成を知ることが必要です。OSやアプリケーションのバージョン確認方法は、OSやアプリケーション毎に固有であり、その確認方法を知っておくことは大切です。Strutsのバージョン確認方法をご紹介します。SIDfmのコンテンツ内にはOS、アプリケーションやアプライアンスなどのバージョン確認方法を記載しています。Strutsのバージョンは、.jarファイルを展開した後のMETA-INF/MANIFEST.MFファイル内に記述されています。number>.jarファイルとなります。2は、ファイル名にバージョン番号が含まれているため、それにより確認することもできます。ファイル名は、環境により異なる場合があります。.jarファイルを展開します。struts2-core-2.3.15.1.jarMETA-INF/MANIFEST.MFファイル内のSpecification-Version/Implementation-Versionの値を確認します。Strutsのどのバージョンにどのような脆弱性が存在するのでしょうか。Strutsのバージョンに存在する脆弱性とそのリスクを調べ、評価する方法をご紹介します。ステップで簡単に検索できます。2.3.15に存在するセキュリティホールを調べる方法をご紹介します。SIDfmは、アプリケーションとバージョンの組合せを認識(例外有り)し検索しますので、手順は非常に簡単です。https://sid.softek.jp/security/listを表示します。2.3.15」を入力します。2.3.15」でも可能です。「検索」ボタンを押します。2.3.15に存在するセキュリティホール42件が表示されます。リスク指標を一覧で比較確認できます。検索結果表示欄では、できる限り多くの指標を見せながらも、リスクの判断に必要な指標を分かりやすく表示しています。すべての指標は更に絞り込むことが可能となっていますので、対処が必要なリスクの特定が容易となり、セキュリティホールマネージメントに役立ちます。セキュリティホールタイトルです。セキュリティホールに影響のあるアプリケーション名や影響結果などを的確にまとめています。最大CVSS指標です。1つのコンテンツ内に複数のCVEが含まれる場合には、その内の最大のCVSS値(10が最大)を表示します。CVSSの詳細項目と攻撃コードの有無です。セキュリティホールの影響を受けた際に、組織やシステムが受ける内容を詳細に分析します。SIDfm独自の危険度と影響範囲です。CVSS値が割り振られていないセキュリティホールの判断に利用します。セキュリティホールに影響のあるOSとアプリケーションのすべてが表示されます。1つのコンテンツに複数のセキュリティホール(CVE)が関係する場合があります。セキュリティホールに関係するニュースを表示します。セキュリティホールが一般にどのように扱われているかの判断や、影響度の指標としても利用できます。セキュリティホールの詳細は必要な情報をタブで見やすく個々のセキュリティホールコンテンツは、リスク判断に最も重要なCVSS指標を大きく固定で表示し、その他の概要や対処方法などはタグ切替で必要な時に必要な情報にアクセスできます。難しくなりがちなセキュリティホール情報を分かりやすくするための工夫があります。SIDfmで負担を無くし確実な脆弱性管理ができますこれまでの一連の作業をいつ発表されるか分からないセキュリティアドバイザリに対して毎日続けることは、大変な負担です。SIDfmはOSやアプリケーションに脆弱性が発見された際に、その脆弱性内容をセキュリティアナリストが分析し、関連する周辺情報と共にデータベースに登録します。チェック」「脆弱性内容の分析」「脆弱性の自システムへの影響評価」の負担を無くし、確実に脆弱性を管理できるようになります。フィルタに登録すれば、後はSIDfmにお任せください。フィルタへの登録は、組織のリスク判断基準に合わせて細かく設定できます。1つのフィルタに、標準で5アイテム登録できます。通知メールは、4つのタイミングで送信できます。