Apache Struts 2'de Yeni Kritik RCE Güvenlik Açığı Keşfedildi

Apache, Struts 2 açık kaynaklı web uygulaması çerçevesinde uzaktan kod yürütülmesine neden olabilecek kritik bir güvenlik açığı uyarısı yayınladı.

CVE-2023-50164 olarak izlenen güvenlik açığı, yetkisiz yol geçişine olanak sağlayabilecek kusurlu bir "dosya yükleme mantığından" kaynaklanmaktadır ve koşullar altında kötü amaçlı bir dosya yüklemek ve rastgele kod yürütülmesini sağlamak için kullanılabilir.

Struts, kurumsal odaklı web uygulamaları oluşturmak için Model-View-Controller (MVC) mimarisini kullanan bir Java çerçevesidir.

Source Incite'tan Steven Seeley, yazılımın aşağıdaki sürümlerini etkileyen kusuru keşfetme ve bildirme konusunda kredilendirildi -

Dikmeler 2.3.37 (EOL)
Dikmeler 2.5.0 - Dikmeler 2.5.32 ve
Dikmeler 6.0.0 - Dikmeler 6.3.0

Hata için yamalar 2.5.33 ve 6.3.0.2 veya daha büyük sürümlerde mevcuttur. Sorunu düzelten geçici bir çözüm yoktur.

"Tüm geliştiricilere bu yükseltmeyi gerçekleştirmeleri şiddetle tavsiye edilir," dedi proje geliştiricileri geçen hafta yayınlanan bir danışma belgesinde. "Bu bir yedek parçadır ve yükseltme basit olmalıdır."

Güvenlik açığının gerçek dünya saldırılarında kötü niyetli olarak kullanıldığına dair bir kanıt bulunmamakla birlikte, yazılımdaki önceki bir güvenlik açığı (CVE-2017-5638, CVSS puanı: 10.0), 2017'de tüketici kredisi raporlama ajansı Equifax'ı ihlal etmek için tehdit aktörleri tarafından silah haline getirildi.