Apache Struts biztonsági sérülékenység


2012. január 23. 10:42

CH azonosító

CH-6293

Angol cím

Apache Struts "ParameterInterceptor" Security Bypass Vulnerability

Felfedezés dátuma

2012.01.22.

Súlyosság

Magas

Érintett rendszerek

Apache Software Foundation
Apache Struts

Érintett verziók

Apache Struts 2.x

Összefoglaló

Az Apache Struts egy sérülékenységét jelentették, amelyet kihasználva a támadók megkerülhetnek egyes biztonsági előírásokat.

Leírás

A sérülékenységet a “ParameterInterceptor” osztály egy hibája okozza, amelyet kihasználva manipulálni lehet a szerver oldali objektumokat, és pl. tetszőleges parancsot lehet lefuttatni speciálisan elkészített OGNL (Object-Graph Navigation Language) kifejezések segítégével.

A sérülékenységet a 2.3.1.2 előtti verziókban jelentették.

Megoldás

Frissítsen a legújabb verzióra

Támadás típusa

Input manipulation (Bemenet módosítás)

Hatás

Loss of availability (Elérhetőség elvesztése)
Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)

Szükséges hozzáférés

Remote/Network (Távoli/hálózat)

Hivatkozások

Gyártói referencia: struts.apache.org
Egyéb referencia: blog.o0o.nu
SECUNIA 47711
SECUNIA 32495
CVE-2011-3923 - NVD CVE-2011-3923

Legfrissebb sérülékenységek
CVE-2023-42917 – Apple iOS sérülékenysége
CVE-2023-42916 – Apple iOS sérülékenysége
CVE-2023-37928 – Zyxel NAS326 firmware sérülékenysége
CVE-2023-4474 – Zyxel NAS326 firmware sérülékenysége
CVE-2023-4473 – Zyxel NAS326 firmware sérülékenysége
CVE-2023-37927 – Zyxel NAS326 firmware sérülékenysége
CVE-2023-35137 – Zyxel NAS326 firmware sérülékenysége
CVE-2023-35138 – Zyxel NAS326 firmware sérülékenysége
CVE-2023-49693 – NETGEAR ProSAFE Network Management System sérülékenysége
CVE-2023-5822 – CodeDropz Drag and Drop Multiple File Upload - Contact Form for WordPress sérülékenysége
Tovább a sérülékenységekhez »