てきとうなメモスマートフォン用の表示で見るてきとうなメモ本の感想とか技術メモとかこの広告は、90日以上更新していないブログに表示しています。CVE-2017-5638)Securityだいぶまとめられているので私が書くことはあまりなさそうな。見ての通り、LocalizedTextUtilはもう使われていないのでセーフです。ちがくて、修正後のコードのtextProviderの中でLocalizedTextUtilは呼ばれているけど、デフォルトのメッセージ「struts.messages.error.uploading」を取得していて、外部からの入力を利用していないのでセーフになる。あと、WAFで防ぐ場合はContent-Typeヘッダに%{...}や${...}を含むものを弾けば良いかな。この部分がOGNL式として解釈されるので。PoCは%{...}のものが多いけども、コード的には両方必要。Content-Typeについてだけ書いたが、S2-046の件もあるので、Content-DispositionやContent-Lengthをチェックする必要もあるドキュメントには${...}しか書いていないようだけども。メモ月別アーカイブはてなブログをはじめよう!bosconoさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。