Kritisk fejl i Apache Struts 2

Angribere forsøger at udnytte offentlig tilgængelig udnyttelseskode til en sårbarhed, der for nyligt er rettet i Apache Struts 2.

Det skriver Help Net Security.

Sårbarheden har id’et CVE-2023-50164 og CVSS-score på 9,8. Det er en såkaldt ’path traversal’-sårbarhed, hvor angribere forsøger at implementere webshell, som i visse tilfælde er rettet mod parameteren 'fileFileName'. Sårbarheden muliggør stigennemgang ved at manipulere filoverførselsparametre og kan i nogle tilfælde gøre det muligt for angribere at uploade ondsindede filer. Dette kan bruges til at opnå mulighed for fjernafvikling af kode.

Det er en sikkerhedsgruppe fra Akamai, der har observeret udnyttelsesforsøgene, som også er bemærket af Shadowserver Foundation.

Sårbarheden påvirker følgende Apache Struts-versioner:

• 2.0.0 til 2.5.32
• 6.0.0 til 6.3.0.1
• 2.0.0 til og med 2.3.37 (som ikke længere understøttes)

Det er blevet rettet i Apache Struts version 2.5.33 og 6.3.0.2. Struts 2-udviklere og brugere er blevet opfordret til at opgradere så hurtigt som muligt, da der ikke er andre veje til afhjælpning.

Apache Struts 2 er en open source webapplikationsramme til udvikling af Java EE webapplikationer.

Links:

https://www.helpnetsecurity.com/2023/12/14/poc-exploit-cve-2023-50164/