The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Уязвимость в Apache Struts, позволяющая выполнить код на сервере

17.12.2024 17:10

В web-фреймворке Apache Struts, применяемом для создания web-приложений на языке Java с использованием парадигмы МVС (Model-View-Controller), выявлена уязвимость (CVE-2024-53677). Уязвимость даёт возможность внешнему злоумышленнику записать файл в произвольное место файловой системы на сервере через отправку специально оформленного HTTP-запроса. Проблема затрагивает выпуски с 2.0.0 по 2.3.37, c 2.5.0 по 2.5.33 и с 6.0.0 по 6.3.0.2, и проявляется в приложениях, использующих компонент FileUploadInterceptor за загрузки файлов сервер.

Уязвимость вызвана отсутствием должной проверки параметров, передаваемых при загрузке файлов. При наличии доступа к функциям загрузки файлов в реализованном на базе Apache Struts web-интерфейсе, атакующий может указать значение вида "../../../../../webapps/ROOT" и добиться сохранения файла за пределами каталога для хранения загружаемых данных (прототип эксплоита). Получив возможность записи файлов в произвольные части ФС можно организовать выполнение своих команд на сервере, перезаписав скрипты или файлы конфигурации, насколько это позволяют права пользователя, под которым выполняется web-приложение. Если web-приложение выполняется в контейнере Apache Tomcat, запускаемом с правами root, атакующий может получить привилегированный доступ в систему.

Уязвимости в Apache Struts имеют значение, так как данный фреймворк пользуется популярностью в корпоративных системах, доступных через web. По статистике RedMonk фреймворк Apache Struts применялся в web-приложениях 65% компаний из списка Fortune 100. В 2017 году атака на информационную систему компании Equifax, использующую уязвимую версию Apache Struts, привела к утечке персональных данных 143 млн жителей США.

  1. Главная ссылка к новости (https://blog.qualys.com/vulner...)
  2. OpenNews: WordPress и Apache Struts среди web-платформ лидируют по числу уязвимостей с эксплоитами
  3. OpenNews: Критическая уязвимость в Apache Struts
  4. OpenNews: Уязвимость в Apache Struts стала причиной утечки персональных данных 143 млн американцев
  5. OpenNews: Критическая уязвимость в Apache Struts
  6. OpenNews: Волна взломов сайтов через неисправленную уязвимость в Apache Struts
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/62424-apache
Ключевые слова: apache, struts
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (28) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 17:30, 17/12/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • –3 +/
    > Страница на проприетарный confluence.

    Про апач можно забыть. С таким отношением к спо.

     
     
  • 2.15, Аноним (15), 18:34, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +/
    > Страница на проприетарный confluence.
    > Про апач можно забыть. С таким отношением к спо.

    Будто бы кому не наплевать, где там у них страница.

     
  • 2.17, Аноним (-), 19:43, 17/12/2024 Скрыто ботом-модератором     [к модератору]
  • +/
     

  • 1.3, Аноним (1), 17:35, 17/12/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > в контейнере Apache Tomcat, запускаемом с правами root

    Запускаем с привелегиями, затем контейнер героически пытается не допустить повышения прав. Зачем? Почему _просто_ не запустить обычный сервис от пользователя?

     
     
  • 2.5, Аноним (5), 17:38, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Наверно очень понадобился порт 80 вместо 8080.
     
     
  • 3.10, Аноним (1), 17:41, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Для этого есть обратный прокси.
     
     
  • 4.13, Аноним (13), 18:06, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Перенаправить трафик с одного порта на другой — ставить обратный прокси? Системное администрирование уровня локалхост какое-то.
     
     
  • 5.18, Аноним (18), 19:45, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Все лишь твой уровень. В проде конечно же имеет смысл ставить обратный прокси, потому что
    - за одним 80 портом скорее всего будут хоститься несколько приложений
    - нужно централизованно терминировать TLS
    - нужно масштабироваться (проксировать в несколько хостов с failover'ом и балансировкой)
    - унификация access логов, централизованное кэширование, управление доступом, rate limit и т.д.
     
     
  • 6.30, Аноним (13), 22:39, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +/
    И всё на одном сервере? Ну, дела… Спать не жарко?
     
     
  • 7.31, Аноним (31), 02:58, 18/12/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Добро пожаловать в дивный мир кубернетиса, где поды могут быть как на одной машине, так и размазаны по всем железкам дата-центра.
     

  • 1.4, Аноним (5), 17:38, 17/12/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > применялся в web-приложениях 65% компаний из списка Fortune 100

    Помню ещё в 2007г struts рассматривался как нечто совсем легаси в мире Java.

     
     
  • 2.8, Аноним (8), 17:39, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Ты хотел написать рассматривался как нечто совсем надёжное.  
     
     
  • 3.29, Аноним (29), 22:26, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Вопрос к знатокам: что это за форма психического расстройства - решать за собеседника, что он хотел написать, если собеседник уже написал то, что считал нужным?
     
     
  • 4.32, СвидетельИсходаМахатм (?), 04:30, 18/12/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Кащениты такие кащениты.
     

  • 1.7, Аноним (7), 17:39, 17/12/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    > Apache Struts

    Впервые слышу о таком. Наверное что-то очень древнее из 2000-х.

     
     
  • 2.9, Аноним (8), 17:40, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Выросло поколение.
     

  • 1.12, Аноним (13), 18:03, 17/12/2024 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    > Если web-приложение выполняется в контейнере Apache Tomcat, запускаемом с правами root

    Если… Я такое последний раз видел в начале двухтысячных, и уже тогда с недоумением.

     
     
  • 2.14, Аноним (7), 18:29, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > в начале двухтысячных

    Чепуху не городи. В этой стране в начале двухтысячных компьютеры были только у очень крутых компаний, не говоря про домашних юзеров. У нас в городе, например, почта на печатных машинках (в прямом смысле) и телетайпе работала до 2006 года.

     
     
  • 3.19, Аноним (18), 19:57, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Ошибся на десяток лет. Когда я был в начальной школе, а это было самое начало 90-х, компы уже были у половины класса, и обсуждения игрушек и обмен дискетами был обычным явлением. Мои родители имели средний достаток, однако помню что комп ещё и менялся каждые пару лет, с 386 (DX2 66, как сейчас помню, но не уверен что у нас это была первая машина) до 486, потом уже пошли "пни". Это, правда, Москва.
     
     
  • 4.21, D (?), 20:45, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +/
    :) 386 dx 33/40mhz и 486 dx2 66mhz
     
  • 4.23, Аноним (-), 21:10, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > Это, правда, Москва.

    Отличное уточнение!
    Правда по факту это была другая страна, по сравнению со всем замкадьем.
    Ну средний достаток тоже очень отличался.

     
     
  • 5.26, Аноним (26), 21:28, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +/
    Ну да черную икру ели не каждый день. Тяжело было.
     
  • 4.25, Аноним (26), 21:28, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Ага Москва и центральный административный округ. Район Арбат. Даже в Москве, но в другом районе в начале 90-х был один комп дома во всем классе. У остальных только приставки или игра с волком и (его) яйцами.
     
  • 3.20, _ (??), 20:22, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > В этой стране в начале двухтысячных компьютеры были только у очень крутых компаний

    Упрлс? Всё что крупнее палатки по сбору бутылок - уже имели.

     
  • 3.24, хрю (?), 21:17, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +1 +/
    >>Чепуху не городи.

    Воспользуйся своим советом.  Даже в провинции уже была поголовная компьютеризация на всех средний и больших предприятиях как минимум в бухгалтерии - 1с позволял очень экономить и контролировать баблотоки, а в миллиониках так вообще смешно.

     
  • 3.27, Аноним (27), 22:16, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +/
    В середине 90-х,  IBM PC совместимые компьютеры (386е) появились в компьютерном кружке дома пионеров, а так же там были БК’ашки и различные Электроники. Были одноклассники у которых родители купили компьютер. В конце девяностых, в универе, IBM PC совместимые компьютеры стояли в лабах, на кафедрах. В одной из лаб были маки. В конце 90-х в начале 2000-х, компьютеры были у любого бизнеса, ну за исключением киоска с бялешами. В начале 2000-х, будучи студентом, имея подработки, купил и собрал себе свой компьютер, Pentium III. В конце 90-х была популярна сеть Fido, а в начале 2000-х все уже вовсю “сидели” в интернете. В начале 2000-х в городе было открыто куча компьютерных клубов.

    И это не Москва и не Питер, это сотни километров от Москвы.

     
  • 3.28, Аноним (27), 22:21, 17/12/2024 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > У нас в городе, например, почта на печатных машинках (в прямом смысле) и телетайпе работала до 2006 года

    ну почта это конечно показатель, это самое передовое что может быть в твоей стране

     
  • 3.33, Аноним (33), 07:15, 18/12/2024 [^] [^^] [^^^] [ответить]  
  • +/
    >не говоря про домашних юзеров.

    первый контухтер домой купил в 1997, а до того был у меня выданный с работы :-)

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру