Struts CVE（Equifax）
Apache Struts 2のCVE-2017-5638。Content-TypeヘッダーへのOGNL式インジェクションによるRCEで、2017年のEquifax情報漏えい（1億4,300万人分の個人情報、和解金7億ドル）の原因となった。
Equifaxの経緯はこうだ。2017年3月にCVEが公表され、Apacheがパッチを出した。Equifaxは社内のセキュリティ担当に適用を指示したが、手作業の適用で一部のサーバーが漏れた。攻撃者は5月中旬から7月にかけて悪用し、7月に発覚、9月に公表された。教訓は、依存関係の管理と自動パッチ適用の重要性である。Strutsは2000〜2015年ごろに人気だったJavaフレームワークで、その後Spring Boot、Quarkus、Micronautなどに取って代わられた。Struts関連のCVEは30件以上あり、コードインジェクションの攻撃面が深いフレームワークと言える。Apacheは2024年、Struts 2のメンテナンスをv6.5で公式に終了し、利用者に移行を促している。