Apache Struts2の脆弱性対策：歴史的背景と現代の防御戦略
Apache Struts2は、Java EE環境におけるWebアプリケーション開発のデファクトスタンダードとして長年利用されてきたオープンソースのWebアプリケーションフレームワークです。しかし、その強力な機能であるOGNL（Object-Graph Navigation Language）の柔軟性が仇となり、数多くの深刻な脆弱性が発見されてきました。特にリモートコード実行（RCE）を許容する脆弱性は、企業のセキュリティ担当者にとって「悪夢」とも呼べる存在です。本稿では、Struts2の脆弱性の本質を紐解き、現代のエンジニアが取るべき防御戦略を網羅的に解説します。
Apache Struts2における脆弱性の本質とOGNLの脅威
Struts2の脆弱性の多くは、OGNLという強力な式言語に起因しています。OGNLは、Javaオブジェクトのプロパティの取得や設定を動的に行うための言語であり、開発者にとっては非常に便利ですが、信頼できない入力を適切にサニタイズせずOGNLパーサーに渡してしまうと、攻撃者はアプリケーションの実行コンテキスト内で任意のJavaコードを実行できてしまいます。
代表的な脆弱性として、CVE-2017-5638（Jakarta Multipartパーサーの不備）やCVE-2021-31805（OGNL評価の不備）が挙げられます。これらの脆弱性は、HTTPリクエストヘッダーやパラメータに細工を施すだけで、OSコマンドの実行やバックドアの設置を可能にします。Struts2の設計思想そのものが、柔軟性を重視しすぎた結果、セキュリティ境界を曖昧にしてしまった側面は否めません。
主要な脆弱性カテゴリと対策の要諦
Struts2のセキュリティ対策は、単なるパッチ適用に留まりません。以下の3つの観点から多層防御を行うことが求められます。
1. OGNL評価の制限：Struts2のバージョンアップにより、OGNLの評価範囲を厳格に制限する機能が追加されています。最新バージョンでは、デフォルトで危険なクラスやメソッドへのアクセスが禁止されています。
2. 入力バリデーションの徹底：Struts2のバリデーションフレームワークを活用し、ホワイトリスト方式での入力制限を強制します。型変換エラーや特殊文字の混入を早期に検知する仕組みが不可欠です。
3. 依存ライブラリの管理：Struts2本体だけでなく、組み込まれているライブラリ（Commons FileUpload等）の脆弱性も無視できません。SCA（Software Composition Analysis）ツールを用いた継続的なモニタリングが必要です。
脆弱性対策のための実装サンプル
以下に、OGNLインジェクションを防ぐための基本的な設定と、セキュアな実装パターンを示します。
// 1. struts.xmlでのセキュリティ設定の強化
// 危険なOGNL式を評価させないための除外リスト設定
<constant name="struts.ognl.allowStaticMethodAccess" value="false" />
<constant name="struts.excludedClasses" value="java.lang.Object,java.lang.Runtime,java.lang.ProcessBuilder" />
<constant name="struts.excludedPackageNames" value="ognl.*,java.lang.*" />
// 2. セキュアな入力バリデーションの例 (Actionクラス)
public class UserAction extends ActionSupport {
private String username;
@Override
public void validate() {
// ホワイトリスト方式による入力チェック
if (username == null || !username.matches("^[a-zA-Z0-9]{3,20}$")) {
addFieldError("username", "不正な入力形式です。");
}
}
}
実務における運用アドバイスとインシデントレスポンス
実務現場では、Struts2のバージョンアップが困難なケースが多々あります。レガシーシステムを維持しなければならない場合、以下の対応が現実的な解となります。
・WAF（Web Application Firewall）によるシグネチャベースの防御：
WAFは、攻撃者が送り込む悪意のあるOGNL式を通信経路で遮断する最後の砦です。ただし、WAFはバイパスされる可能性があるため、根本的な修正の代替にはなりません。
・実行権限の最小化：
アプリケーションを実行するOSユーザーの権限を最小限に絞り、万が一RCEが発生しても、システム全体への影響（ルート権限の奪取など）を最小限に留める設計にします。
・ログ監視と異常検知：
OGNL評価エラーや不審なリクエストヘッダーを監視し、SIEM（Security Information and Event Management）に集約します。Struts2の脆弱性は攻撃の兆候が特定しやすいため、迅速な検知が被害の極小化に直結します。
また、開発ライフサイクルに「依存関係のチェック」を組み込むことが重要です。MavenやGradleを使用している場合、`dependency-check`プラグインをCI/CDパイプラインに導入し、ビルド時に既知の脆弱性があるライブラリが含まれていないか自動チェックする運用を推奨します。
まとめ：Struts2との付き合い方
Apache Struts2は、その歴史的経緯から「脆弱性の代名詞」のように扱われることもありますが、適切な設定と最新のバージョン管理を行えば、十分に安全な運用が可能です。しかし、最も重要なのは「フレームワークの限界を理解すること」です。
現代のWeb開発においては、よりモダンでセキュリティを第一に設計されたフレームワーク（Spring Boot等）への移行を検討するのが最も賢明な投資です。もしStruts2を使い続けるのであれば、それは「セキュリティリスクを常に抱え続ける」という覚悟を持つことと同義です。
脆弱性情報は公開された瞬間に世界中の攻撃者にスキャンされます。常にApache Struts Projectの公式アナウンスを注視し、定期的な診断とパッチ適用をルーチン化してください。セキュリティは一過性の作業ではなく、継続的なプロセスです。本記事が、貴社の強固なシステム構築の一助となることを願っています。
コメント