CVE-2012-0391
KrytyczneStreszczenie
Komponent ExceptionDelegator w Apache Struts przed wersją 2.2.3.1 interpretuje wartości parametrów jako wyrażenia OGNL podczas obsługi wyjątków związanych z niedopasowaniem typów danych właściwości. To umożliwia zdalnym atakującym wykonanie dowolnego kodu Java poprzez odpowiednio przygotowany parametr.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia zdalne wykonanie kodu, co może prowadzić do przejęcia kontroli nad systemem. Atakujący mogą wykorzystać tę lukę do wprowadzenia złośliwego oprogramowania lub kradzieży danych.
Rekomendacja
Zaleca się aktualizację Apache Struts do wersji 2.2.3.1 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt aplikacji w celu identyfikacji i zabezpieczenia innych potencjalnych luk.
Oryginalny opis (angielski, źródło NVD)
The ExceptionDelegator component in Apache Struts before 2.2.3.1 interprets parameter values as OGNL expressions during certain exception handling for mismatched data types of properties, which allows remote attackers to execute arbitrary Java code via a crafted parameter.