Apache Struts biztonsági sérülékenység

CH azonosító

CH-6293

Angol cím

Apache Struts "ParameterInterceptor" Security Bypass Vulnerability

Felfedezés dátuma

2012.01.22.

Súlyosság

Magas

Érintett rendszerek

Apache Software Foundation
Apache Struts

Érintett verziók

Apache Struts 2.x

Összefoglaló

Az Apache Struts egy sérülékenységét jelentették, amelyet kihasználva a támadók megkerülhetnek egyes biztonsági előírásokat.

Leírás

A sérülékenységet a “ParameterInterceptor” osztály egy hibája okozza, amelyet kihasználva manipulálni lehet a szerver oldali objektumokat, és pl. tetszőleges parancsot lehet lefuttatni speciálisan elkészített OGNL (Object-Graph Navigation Language) kifejezések segítégével.

A sérülékenységet a 2.3.1.2 előtti verziókban jelentették.

Megoldás

Frissítsen a legújabb verzióra