StrutsPatch3-JP - TERASOLUNA Framework Wiki - TERASOLUNA Framework

Apache Struts 1.2.9 with SP3 by TERASOLUNA

はじめに

TERASOLUNA フレームワーク version 2系のTERASOLUNA Server Framework for Javaが利用しているApache Struts 1.2.9 sp2に対して、 Apache Struts1に発生する予期せぬ事象(CVE-2016-1181)(CVE-2016-1182)を改善したバージョンを、 Apache Struts 1.2.9 with Security Patch 3 contributed by TERASOLUNA（以下、Struts 1.2.9 sp3）として Apache License, Version 2.0で提供します。

• CVE-2016-1181
• CVE-2016-1182

TERASOLUNA フレームワーク version 2系のTERASOLUNA Server Framework for Javaは、Apache Struts 1.2.9 sp2を利用しています。 Apache Struts 1.2.9 sp2では、リクエスト情報を処理する過程で予期せぬ事象が発生する場合があります。 本事象の対策として、Struts 1.2.9 sp3を適用して下さい。

尚、TERASOLUNA Server Framework for Java 2系の当該事象の改善に関しては、2016年度中にリリース予定となります。

Struts 1.2.9 sp3

Struts 1.2.9 sp3では、Struts 1.2.9 sp2に対して下記の修正を加えています。

• Source Code Diff (struts-1.2.9-sp3-diff.zip)

ソースコードからのビルド手順

本パッチが提供するstruts-1.2.9-sp3のソースをビルドして、struts.jarを作成する手順を示します。

1. JDK1.3.1_04のインストール
   
2. apache-ant-1.6.1のインストールとライブラリの追加
   apache-ant-1.6.1を配置し、antのlibディレクトリ配下に以下のライブラリを追加する。
   • commons-logging-1.0.4.jar
   • junit-3.8.1.jar
   • xalan-2.5.1.jar
3. struts-1.2.9-sp3のソースコードの配置
   ソースコードのzipを展開して任意のディレクトリに配置し、ビルド用にstruts-1.2.9-sp3-srcフォルダの直下にlibフォルダを作成する。
4. ビルドに必要となるjarファイルの配置
   以下のjarファイルを任意のディレクトリに配置する。
   • antlr-2.7.2.jar
   • checkstyle-2.4.jar
   • commons-beanutils-1.7.0.jar
   • commons-digester-1.6.jar
   • commons-fileupload-1.0.jar
   • commons-logging-1.0.4.jar
   • commons-validator-1.1.4.jar
   • junit-3.8.1.jar
   • log4j-1.2.14.jar
   • servletapi-2.3.jar
   • xerces-1.4.4.jar
   • oro-2.0.7.jar
   • jakarta-taglibs-standard-1.0
     • jstl.jar
     • standard.jar
   • jakarta-tomcat-4.0.6
     • jdbc2_0-stdext.jar
5. ビルド用の設定ファイルの作成
   build.properties.sampleをbuild.propertiesにリネームし、内部に記述されているパスを自環境に合わせ修正する。
6. ビルド用の環境変数の設定
   以下の環境変数を自環境に合わせて設定する。
   • JAVA_HOME
   • ANT_HOME
7. antを実行してビルド

ダウンロード

• Binary File (struts.jar)
• Source Code (struts-1.2.9-sp3-src.zip)
• Source Code Diff (struts-1.2.9-sp3-diff.zip)

参照

CVE - CVE-2016-1181
JVN - JVN#03188560

CVE - CVE-2016-1182
JVN - JVN#65044642

免責条項

適用される法律または書面での同意によって命じられない限り、Struts 1.2.9 sp3はApache License, Version 2.0に基づいて頒布され、明示黙示を問わず、いかなる保証も条件もなしに「現状のまま」頒布されます。Apache License, Version 2.0における権利と制限を規定した文言については、Apache License, Version 2.0の本文を参照してください。

• Apache License, Version 2.0
  http://www.apache.org/licenses/LICENSE-2.0

※ 「TERASOLUNA」は、日本及びその他の国における株式会社NTTデータの商標または登録商標です。 ※ その他、記載されている会社名、商品名、又はサービス名は、各社の登録商標又は商標です。