Apache Strutsの脆弱性CVE-2016-3081｜S2-032のKEV追加と確認方法・移行先

Struts 2には、URLやパラメータで呼び出すメソッドを指定できる「動的メソッド呼び出し（DMI）」という機能があります。S2-032は、この機能が有効なときに、名前がmethod:で始まるパラメータに細工した式を入れると、サーバー側で任意のコードを実行できるという脆弱性です。[1][8]

提供元のApache Strutsは深刻度を「Important」とし、影響を「コード実行のおそれ」としています。NVDの評価はCVSS 3.1で8.1（高）で、攻撃の難しさは「高」、認証は不要です。[1][3]

• 版：提供元の告知では2.3.20〜2.3.28（2.3.20.3と2.3.24.3を除く）。NVDとGitHub Advisoryは2.3.19からとしています。[1][3][4]
• 設定：DMIが有効なこと。2.3.20・2.3.28のdefault.propertiesではstruts.enable.DynamicMethodInvocation = falseが既定で、struts.xmlやstruts.propertiesでtrueにしたアプリが対象です。[1][7]
• 経路：Strutsのアクション（.actionなど）に、外からリクエストが届くこと。認証の有無は条件にありません。[1][3]

2.5系・6系・7系は、この件の影響範囲に入っていません。[4]

米CISAは2026年10月8日、CVE-2016-3081をKEVに追加し、連邦政府機関に10月11日までの対応を求めました。KEVのこの項目には、CISAの「フォレンジックのトリアージ要件」の対象である印も付いています。[5]

公表は2016年4月で、GitHub Advisoryの参照には、Exploit-DBの攻撃コードとMetasploitのモジュールが挙がっています。EPSSは96.5%で、上位0.2%に入ります（11月8日時点）。[4][6]

KEVに載った脆弱性は、更新に加えて、更新前に攻撃を受けていないかを確かめます。S2-032の攻撃は、名前がmethod:で始まるパラメータで届きます。[1][3][5]

1. Webサーバー・Tomcatのアクセスログで、クエリ文字列にmethod:（URLエンコードではmethod%3A）を含むリクエストを探します。
   ターミナル

   grep -i -E "method(:|%3A)" /var/log/httpd/access_log* $CATALINA_BASE/logs/localhost_access_log*

2. POSTの本文はアクセスログに残らないことが多いので、WAFやロードバランサーに本文の記録があれば同じ文字列を探します。
3. アプリの実行ユーザーで起動した見覚えのないプロセス、Webアプリの配置先（webappsなど）に増えたJSPなどのファイル、見覚えのない宛先への通信がないかを確かめます。
4. 痕跡が見つかった場合は、ログとサーバーの状態を保全し、専門の窓口に相談します。

推奨する版は、提供元の告知、GitHub Advisory、Maven Centralに公開済みの版から出しました（11月9日確認）。上げる前に移行の手引きとリリースノートを確かめてください。[1][9][10][11][12][14]

2.3系の修正版に上げてもS2-032は直りますが、GitHub Advisoryでは、2.3.37以前・2.5.33以前に影響するCVE-2025-64775（サービス停止）とCVE-2025-68493（XMLの検証漏れ）に、この2つの系列の修正版が載っていません。提供元はサポート中の版への移行を勧めています。[9][11][12]

1. ソースのあるアプリは、依存関係からstruts2-coreの版を確かめます。Gradleでは./gradlew dependencyInsight --dependency struts2-coreです。

   ターミナル

   mvn dependency:tree -Dincludes=org.apache.struts:struts2-core

2. 配置済みのWARしか無い場合は、WEB-INF/libのJARの名前で版を確かめます。

   ターミナル

   find $CATALINA_BASE/webapps -name "struts2-core-*.jar"

3. DMIを有効にしているかを確かめます。trueの行があれば対象の設定です。[7][8]

   ターミナル

   grep -rn "DynamicMethodInvocation" src/main/resources WEB-INF/classes

4. 6系か7系に上げます。pom.xmlの版を変え、テストで動作を確かめます。7系ではJava 17以上と、Jakarta Servlet 6以上に対応したサーブレットコンテナが必要です。[13]

   pom.xml

   <dependency>
     <groupId>org.apache.struts</groupId>
     <artifactId>struts2-core</artifactId>
     <version>7.4.0</version>
   </dependency>

5. ビルドして配置し直したあと、配置先のWEB-INF/libに古いstruts2-coreのJARが残っていないかを、手順2のコマンドで確かめます。

提供元の告知は、DMIを無効にすること、または推奨する版のソースをもとに独自のActionMapperを実装することを回避策として挙げています。DMIを無効にするには、struts.xmlで次のように設定します。[1][8]

<constant name="struts.enable.DynamicMethodInvocation" value="false" />

DMIで呼び出しているメソッドがあると、その画面は動かなくなります。アクションの定義でmethod属性を指定する書き方に直してから無効にします。あわせて、WAFで名前がmethod:で始まるパラメータを含むリクエストを止めると、攻撃の入口を狭められます。

2.3系のサポートは2019年9月12日、2.5系は2023年10月30日に終わっていて、提供元はセキュリティの修正を出しません。提供元のサポート終了の案内は、移行を強く勧め、すぐ移行できない場合は第三者の有償の延長サポートがあるとしています。[9]

2.3系から6系・7系へは、設定や書き方の変更が多くなります。7系ではcom.opensymphony.xwork2のパッケージがorg.apache.struts2に移りました。移行の間はDMIの無効化とアクセスログの確認を続けます。[13]