立即修补：利用活动挂载危险的 Apache Struts 2 错误

由柏拉图重新发布

关注： 0

立即修补：利用活动挂载危险的 Apache Struts 2 错误 PlatoBlockchain 数据智能。垂直搜索。人工智能。

人们对最近披露的 Apache Struts 2 中的一个关键远程代码执行 (RCE) 漏洞高度关注，攻击者在过去几天一直在积极利用该漏洞。

Apache Struts 是一种广泛使用的用于构建 Java 应用程序的开源框架。开发人员可以使用它来构建基于模型-视图-控制器 (MVC) 架构的模块化 Web 应用程序。阿帕奇软件基金会 (ASF) 披露了该错误 7 月 9.8 日，CVSS 评分表将其严重程度评为接近最高的 10 分（满分 XNUMX 分）。该漏洞被追踪为 CVE-2023-50164 与 Struts 如何处理文件上传中的参数有关，并为攻击者提供了完全控制受影响系统的方法。

影响 Java 应用程序的广泛存在的安全问题

该缺陷引起了相当大的关注，因为它普遍存在，它可以远程执行，而且概念验证漏洞利用代码是公开可用的。自上周披露该漏洞以来，多家供应商和实体（例如影子服务器 - 已报告看到针对该缺陷的利用活动的迹象。

ASF 本身将 Apache Struts 描述为拥有“庞大的用户群”，因为它已经存在了二十多年。安全专家估计，全球有数千个应用程序（包括许多财富 500 强公司以及政府和关键基础设施部门的组织正在使用的应用程序）基于 Apache Struts。

许多供应商技术也包含 Apache Struts 2。以思科为例，目前正在调查可能受该错误影响并计划在需要时发布更多信息和更新的所有产品。接受审查的产品包括思科的网络管理和配置技术、语音和统一通信产品及其客户协作平台。

该漏洞影响Struts版本2.5.0至2.5.32和Struts版本6.0.0至6.3.0。该错误也存在于 Struts 版本 2.0.0 至 Struts 2.3.37 中，这些版本现已终止。

ASF、安全供应商和实体，例如美国网络安全和信息安全局 (CISA) 建议使用该软件的组织立即更新到 Struts 版本 2.5.33 或 Struts 6.3.0.2 或更高版本。据 ASF 称，目前尚无针对该漏洞的缓解措施。

近年来，研究人员发现了 Struts 的许多缺陷。其中最重要的是 CVE-2017-5638 2017 年，该事件影响了数千家组织，并导致 Equifax 发生漏洞，泄露了属于数量惊人的 143 亿美国消费者的敏感数据。这个错误实际上仍然存在——使用刚刚发现的活动 NKAbuse 区块链恶意软件，例如，正在利用它进行初始访问。

一个危险的 Apache Struts 2 错误，但很难利用

趋势科技的研究人员本周分析了新的 Apache Struts 漏洞将其描述为危险但相当困难的比 2017 年的 bug 更大规模地被利用，XNUMX 年的 bug 只不过是扫描和利用问题。

趋势科技研究人员表示：“CVE-2023-50164 漏洞继续被众多威胁行为者广泛利用，他们利用此漏洞执行恶意活动，这使其对全球组织构成重大安全风险。”

该缺陷基本上允许攻击者操纵文件上传参数以实现路径遍历：“这可能会导致上传恶意文件，从而实现远程代码执行，”他们指出。

Akamai 在一份报告中表示，要利用该缺陷，攻击者首先需要使用易受攻击的 Apache Struts 版本扫描并识别网站或 Web 应用程序。报告总结了对威胁的分析本星期。然后，他们需要发送特制请求，将文件上传到易受攻击的网站或 Web 应用程序。该请求将包含隐藏命令，这些命令会导致易受攻击的系统将文件放置在攻击者可以访问该文件的位置或目录中，并触发受影响系统上的恶意代码的执行。

“Web 应用程序必须执行某些操作才能实现恶意分段文件上传。”Akamai 高级安全研究员 Sam Tinklenberg 说道。 “这是否默认启用取决于 Struts 2 的实现。根据我们所看到的情况，这更有可能不是默认启用的。”

CVE-2023-50164 的两个 PoC 漏洞利用变体

Akamai 表示，到目前为止，它已经发现使用公开发布的 PoC 进行针对 CVE-2023-50164 的攻击，以及另一组使用似乎是原始 PoC 变体的攻击活动。

Tinklenberg 说，“两组”攻击之间的利用机制是相同的。 “但是，不同之处在于攻击尝试中使用的端点和参数。”

Tinklenberg 补充道，攻击者成功利用该漏洞的要求可能因实施方式的不同而有很大差异。其中包括需要一个易受攻击的应用程序启用文件上传功能，并允许未经身份验证的用户上传文件。如果存在漏洞的应用程序不允许未经授权的用户上传，则攻击者需要通过其他方式获得身份验证和授权。他说，攻击者还需要使用易受攻击的文件上传功能来识别端点。

Qualys 漏洞和威胁研究经理 Saeed Abbasi 表示，虽然 Apache Struts 中的这一漏洞可能不像之前的漏洞那样容易被大规模利用，但它在如此广泛采用的框架中的存在肯定会引起重大的安全问题。

“这个特殊的漏洞因其复杂性和利用所需的特定条件而引人注目，使得广泛的攻击变得困难但有可能，”他指出。 “鉴于 Apache Struts 在各种关键系统中的广泛集成，有针对性的攻击的可能性不容低估。”