Apache Struts sérülékenységek


2013. június 5. 12:42

CH azonosító

CH-9355

Angol cím

Apache Struts OGNL Expression Injection Vulnerabilities

Felfedezés dátuma

2013.06.04.

Súlyosság

Magas

Érintett rendszerek

Apache Software Foundation
Apache Struts

Érintett verziók

Apache Struts 2.x

Összefoglaló

Az Apache Struts több sérülékenységét jelentették, amiket kihasználva a támadók megkerülhetnek egyes biztonsági szabályokat.

Leírás

A sérülékenységeket az olyan double evaluation hibák okozzák, amelyek a paramétereknek OGNL (Object-Graph Navigation Language) kifejezésként történő feldolgozása során keletkezik. Ezt kihasználva módosítani lehet a szerver oldali objektumokat, és tetszőleges kódot lehet végrehajtani speciálisan megszerkesztett OGNL kifejezések segítségével.

A sérülékenységeket a 2.3.14.3 előtti verziókban jelentették.

Megoldás

Frissítsen a legújabb verzióra

Támadás típusa

Input manipulation (Bemenet módosítás)

Szükséges hozzáférés

Remote/Network (Távoli/hálózat)

Hivatkozások

Gyártói referencia: struts.apache.org
Egyéb referencia: communities.coverity.com
CVE-2013-2134 - NVD CVE-2013-2134
CVE-2013-2135 - NVD CVE-2013-2135
SECUNIA 53693

Legfrissebb sérülékenységek
CVE-2026-21877 – n8n Remote Code Execution via Arbitrary File Write sérülékenység
CVE-2025-68668 – n8n Arbitrary Command Execution sérülékenység
CVE-2025-68613 – n8n Remote Code Execution via Expression Injection sérülékenység
CVE-2026-21858 – n8n Unauthenticated File Access via Improper Webhook Request Handling sérülékenység
CVE-2025-37164 – Hewlett Packard Enterprise OneView Code Injection sérülékenység
CVE-2009-0556 – Microsoft Office PowerPoint Code Injection sérülékenység
CVE-2026-0625 – D-Link DSL Command Injection via DNS Configuration Endpoint sérülékenység
CVE-2020-12812 – Fortinet FortiOS SSL VPN Improper Authentication sérülékenysége
CVE-2025-14733 – WatchGuard Firebox Out of Bounds Write sérülékenység
CVE-2023-52163 – Digiever DS-2105 Pro Missing Authorization sérülékenység
Tovább a sérülékenységekhez »