Apache Struts sérülékenységek

CH azonosító

CH-9355

Angol cím

Apache Struts OGNL Expression Injection Vulnerabilities

Felfedezés dátuma

2013.06.04.

Súlyosság

Magas

Érintett rendszerek

Apache Software Foundation
Apache Struts

Érintett verziók

Apache Struts 2.x

Összefoglaló

Az Apache Struts több sérülékenységét jelentették, amiket kihasználva a támadók megkerülhetnek egyes biztonsági szabályokat.

Leírás

A sérülékenységeket az olyan double evaluation hibák okozzák, amelyek a paramétereknek OGNL (Object-Graph Navigation Language) kifejezésként történő feldolgozása során keletkezik. Ezt kihasználva módosítani lehet a szerver oldali objektumokat, és tetszőleges kódot lehet végrehajtani speciálisan megszerkesztett OGNL kifejezések segítségével.

A sérülékenységeket a 2.3.14.3 előtti verziókban jelentették.

Megoldás

Frissítsen a legújabb verzióra