CWE一覧に戻る
CWE-106

Strutsプラグインフレームワークが使用されていない

Struts: Plug-in Framework not in Use
脆弱性 レビュー中
JA

アプリケーションがStruts Validatorのような入力検証フレームワークを使用しない場合、不十分な入力検証に関連する弱点を導入するリスクが高くなります。

チェックされていない入力は、J2EE アプリケーションにおける脆弱性の主な原因です。チェックされていない入力は、特にクロスサイト・スクリプティング、プロセス制御、SQL インジェクションの脆弱性につながります。

J2EE アプリケーションは一般的にメモリ破壊攻撃の影響を受けませんが、J2EE アプリケーションが配列の境界チェックを行わないネイティブコードとインタフェースする場合、攻撃者は J2EE アプリケーションの入力検証ミスを利用してバッファオーバーフロー攻撃を仕掛けることができるかもしれません。

EN

When an application does not use an input validation framework such as the Struts Validator, there is a greater risk of introducing weaknesses related to insufficient input validation.

Unchecked input is the leading cause of vulnerabilities in J2EE applications. Unchecked input leads to cross-site scripting, process control, and SQL injection vulnerabilities, among others.

Although J2EE applications are not generally susceptible to memory corruption attacks, if a J2EE application interfaces with native code that does not perform array bounds checking, an attacker may be able to use an input validation mistake in the J2EE application to launch a buffer overflow attack.

Scope: Integrity / Impact: Unexpected State
Use an input validation framework such as Struts.
Use an input validation framework such as Struts.
Use the Struts Validator to validate all program input before it is processed by the application. Ensure that there are no holes in the configuration of the Struts Validator. Example uses of the validator include checking to ensure that:
Use the Struts Validator to validate all program input before it is processed by the application. Ensure that there are no holes in the configuration of the Struts Validator. Example uses of the validator include checking to ensure that:
MITRE公式ページ — CWE-106