Apache rättar kritisk sårbarhet i Apache Struts 2

Apache har åtgärdat en kritisk sårbarhet i ramverket Apache Struts 2. [1]

Sårbarheten (CVE-2023-50164) rankar 9.8 av 10 på CVSS-skalan och möjliggör för RCE (remote code execution). [2] Det innebär att en angripare vid framgångrikt utnyttjande kan ladda upp skadliga filer och fjärrköra godtycklig kod i drabbat system. Sårbarheten rapporteras utnyttjas aktivt och proof-of-concept finns publicerat.

Sårbarheten bedöms svår att utnyttja i någon större skala (massexploatering) [3], men då ramverket är vanligt förekommande i äldre Java-baserade produkter och ofta används i kombination med andra system, är det viktigt att installera säkerhetsuppdateringarna så fort som möjligt. Till exempel har Cisco publicerat en varning för sårbarheten. [3]

Påverkade produkter och system är de som baseras på:

Struts 2.0.0 - Struts 2.3.37 (EOL)
Struts 2.5.0 - Struts 2.5.32
Struts 6.0.0 - Struts 6.3.0

Rekommendationer

CERT-SE rekommenderar att uppdatera till följande produktversioner så snart som möjligt:

Struts 2.5.33 och senare
Struts 6.3.0.2 och senare

Kan säkerhetsuppdateringarna inte installeras inom kort, rekommenderas produkterna tas offline tills dess att uppdateringen kan göras.

Källor

[1] https://cwiki.apache.org/confluence/display/WW/S2-066
[2] https://nvd.nist.gov/vuln/detail/CVE-2023-50164
[3] https://www.praetorian.com/blog/cve-2023-50164-apache-struts-file-upload-vulnerability/
[4] https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-struts-C2kCMkmT