Kritična ranjivost u Apache Struts 2: Hitno ažurirajte!
Stručnjaci za sigurnost upozoravaju na kritičnu ranjivost u okviru aplikacija Apache Struts 2 koja se aktivno iskorištava. Korisnici se hitno pozivaju da primijene zakrpu ili nadograde na najnoviju verziju kako bi zaštitili svoje sustave. Apache Struts 2 je okvir otvorenog koda koji se koristi za razvoj web aplikacija temeljenih na Javi, a posebno je popularan među velikim poduzećima i vladinim agencijama.
Otkrivena ranjivost u Apache Struts 2
Prema nedavnom izvješću Apachea, pronađena je ranjivost u “logici učitavanja datoteka” u verzijama od 2.0.0 do 2.3.37, 2.5.0 do 2.5.33 i 6.0.0 do 6.3.0.2. Verzije 6.4.0 i 7.0.0 smatraju se sigurnima. Ova greška nosi oznaku CVE-2024-53677 i ima procjenu ozbiljnosti 9.5 od 10 (kritična), jer može omogućiti manipulisanje parametrima učitavanja, što može dovesti do “traversala” putanje.
Potencijalni rizici
Zbog ove ranjivosti, zlonamjerni akteri mogu učitati proizvoljne datoteke u ograničene mape, što omogućuje udaljenu izvršbu koda (RCE). To može rezultirati krađom podataka i preuzimanjem sustava, što dodatno naglašava hitnu potrebu za ažuriranjem.
Što trebate učiniti?
- Ažurirajte na verziju 6.4.0 ili noviju, koja ne koristi ranjivu komponentu Struts’ File Upload Interceptor.
- Primijenite dostupne zakrpe koje je Apache objavio.
- Pazite na informacije iz CISA-e o eksploitiranim ranjivostima povezanima s Apache Strutsom.
Zaključak
Stručnjaci za kibernetsku sigurnost iz Vulcana naglašavaju kako su ranjivosti Apache Strutsa “glavni ciljevi za napadače”. Podsjetili su na provale poput one u Equifaxu 2017. godine koja je bila uzrokovana sličnom greškom. S obzirom na to da Struts 2 ima značajan volumen preuzimanja – oko 300,000 mjesečnih zahtjeva – površina za napad je velika. Ne zaboravite da je CISA već dodala više RCE ranjivosti Strutsa u svoj katalog poznatih iskorištenih ranjivosti (KEV). Aktivno djelujte i osigurajte svoje aplikacije odmah!
