Apache Struts

Apache Struts er et open source rammeværk til udvikling af Java-baserede web-applikationer.

Hvis den opdagede sårbarhed udnyttes, kan den åbne for afvikling af ekstern, ondsindet kode i sammenhæng med de berørte applikationer.

Afhængig af hvilke rettigheder, der er associeret med applikationen, kan en angriber installere programmer, slette data eller oprette nye konti.

Mislykket udnyttelse kan resultere i en denail-of-service-lignede tilstand.

Udviklerne af Apache Struts har lukket tre sikkerhedshuller. Et af dem er kritisk, idet angribere kan udnytte REST-pluginnet til at afvikle skadelig programkode.

Flere angrebsprogrammer, der udnytter sårbarheden, er lagt ud på nettet.

Sårbarheden ligger i deserialization i Java.

En række store virksomheder anvender Struts og er dermed mulige angrebsmål.

Fejlene er rettet i Apache Struts 2.5.13.

Anbefaling

Opdater til Apache Struts 2.5.13.

Sårbarheden har været kendt siden den 6. marts. Den findes i Jakarta Multipart-parseren, der indgår i Apache Struts 2. Dermed er en række produkter, der anvender Struts, ramt.

Cisco har fundet frem til 21 produkter, der anvender Struts og derfor er sårbare.

Firmaet har udsendt rettelser til de fleste.

Cisco har endvidere udsendt en række andre sikkerhedsrettelser. De fjerner primært sårbarheder, der kan sætte produkter ud af drift.

Anbefaling

Gennemgå listen over sårbare produkter og opdater dem, som I anvender.

MySQL tegner sig for 13 procent af rettelserne i april kvartals sikkerhedsrettelser fra Oracle. 11 af de 39 sårbarheder i MySQL kan udnyttes over nettet, uden at angriberen har en konto på systemet.

37 procent af rettelserne er til Oracles brancheløsninger og til Fusion Middleware. De fleste af dem kan udnyttes over netværk uden en brugerkonto.

25 af rettelserne lukker huller relateret til en kendt sårbarhed i Apache Struts.

Der er otte rettelser til Java SE, hvoraf de syv kan udnyttes over netværk uden en brugerkonto. Fejlene er rettet i Java 8 Update 131.

Sårbarheden giver udefrakommende angribere mulighed for at afvikle skadelig programkode. Flere produkter fra Cisco og VMware anvender Struts på en måde, der gør dem sårbare.

Cisco oplyser, at følgende produkter er sårbare:

Sikkerhedsorganisationen Talos fra Cisco har set en lang række forsøg på at udnytte sårbarheden. De første var blot forsøg på at undersøge, om et system var sårbart ved at sende en uskadelig kommando.

Men senere angrebsforsøg udnytter sårbarheden til at downloade skadelig software til det sårbare system.

Sårbarheden ligger i Apache Struts-systemer, der bruger Jakarta Multipart parser til at uploade filer med.

Fejlen er rettet i Struts 2.3.32 og Struts 2.5.10.1.

Anbefaling

Opdater til Struts 2.3.32 eller Struts 2.5.10.1.