Podatności Apache Struts

Metoda TextParseUtil.translateVariables w Apache Struts 2.x przed wersją 2.3.20 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane wyrażenie OGNL z wykorzystaniem narzędzi ANTLR.

Apache Struts 2.x przed wersją 2.3.29 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez sekwencję "%{}" w atrybucie tagu, co jest znane jako wymuszone podwójne ocenianie OGNL.

W Apache Struts w wersjach od 2.3.7 do 2.3.33 oraz od 2.5 do 2.5.12, istnieje możliwość przygotowania specjalnego URL, który może przeciążyć proces serwera podczas walidacji URL w formularzu. Problem ten wynika z niekompletnej poprawki dla S2-047 / CVE-2017-7672.

Apache Struts 2.x przed wersją 2.3.24.1 pozwala zdalnym atakującym na manipulację wewnętrznymi elementami Struts, co może prowadzić do zmiany sesji użytkowników lub wpływania na ustawienia kontenera.

Wykorzystanie funkcjonalności AOP w Spring do zabezpieczania akcji Struts może prowadzić do ataku DoS.

Apache Struts 2 w wersjach od 2.3.20 do 2.3.28.1 pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu oraz przeprowadzenie ataków redirekcyjnych za pomocą spreparowanego żądania.

Apache Struts 2 w wersjach od 2.3.20 do 2.3.28.1 pozwala zdalnym atakującym na obejście zamierzonych ograniczeń dostępu oraz przeprowadzanie ataków redirekcyjnych poprzez wykorzystanie domyślnej metody.

Apache Struts 2 w wersjach od 2.3.20 do 2.3.28.1 niewłaściwie obsługuje walidację tokenów, co umożliwia zdalnym atakującym przeprowadzanie ataków typu cross-site request forgery (CSRF) za pomocą nieokreślonych wektorów.

Apache Struts w wersjach od 2.3.19 do 2.3.20.2, od 2.3.21 do 2.3.24.1 oraz od 2.3.25 do 2.3.28, z włączoną Dynamic Method Invocation, umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez prefiks metody, związany z wyrażeniami łańcuchowymi.

Apache Struts 2.x przed wersją 2.3.28 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez sekwencję "%{}" w atrybucie tagu, co jest znane jako wymuszone podwójne ocenianie OGNL.

Domyślne wzorce wykluczeń (excludeParams) w Apache Struts 2.3.20 umożliwiają zdalnym atakującym kompromitację wewnętrznego stanu aplikacji za pomocą nieokreślonych wektorów.

CookieInterceptor w Apache Struts przed wersją 2.3.20, przy użyciu wartości cookiesName z symbolem wieloznacznym, nie ogranicza prawidłowo dostępu do metody getClass, co pozwala zdalnym atakującym na 'manipulację' ClassLoaderem i wykonanie dowolnego kodu za pomocą spreparowanego żądania.

ParametersInterceptor w Apache Struts przed wersją 2.3.20 nie ogranicza prawidłowo dostępu do metody getClass, co pozwala zdalnym atakującym na manipulację ClassLoaderem i wykonanie dowolnego kodu za pomocą spreparowanego żądania.

Brak walidacji XML w Apache Struts umożliwia ataki XML External Entity (XXE) lub inne manipulacje danymi XML. Podatność dotyczy wersji od 2.0.0 do 6.1.0 włącznie.

Podatność w Apache Struts związana z alokacją zasobów bez ograniczeń lub throttlingu. Dotyczy wersji Apache Struts do 2.5.30 oraz 6.1.2.

W Apache Struts występuje podatność związana z alokacją zasobów bez ograniczeń lub throttlingu. Problem ten dotyczy wersji Apache Struts do 2.5.30 oraz 6.1.2.

W Apache Struts w wersjach od 2.0.0 do 2.3.33 oraz od 2.5 do 2.5.10.1, użycie niezamierzonego wyrażenia w tagu Freemarker zamiast literałów tekstowych może prowadzić do ataku zdalnego wykonania kodu (RCE).

Apache Struts 2 w wersjach przed 2.3.29 oraz 2.5.x przed 2.5.1 umożliwia atakującym wywołanie nieokreślonego wpływu poprzez niewłaściwe oczyszczanie nazw akcji.

Apache Struts w wersjach od 2.3.19 do 2.3.28 z włączoną Dynamic Method Invocation umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez wykorzystanie operatora ! w kontekście REST Plugin.

W Apache Struts 2.x przed wersją 2.3.20.2, 2.3.24.x przed 2.3.24.2 oraz 2.3.28.x przed 2.3.28.1 występuje podatność, która pozwala zdalnym atakującym na wykonanie dowolnego kodu poprzez parametr lokalizacji arkusza stylów.

W Apache Struts występuje podatność na niekontrolowane przydzielanie zasobów. Gdy nie skonfigurowano stałego locale, locale używane do wyszukiwania tekstów lokalizowanych jest pobierane z żądania przychodzącego, co pozwala niezalogowanemu klientowi na nieograniczony wzrost wewnętrznych pamięci podręcznych tekstów lokalizowanych, prowadzący do wyczerpania pamięci Java i odmowy usługi. Aplikacje ze skonfigurowanym stałym locale nie są dotknięte.

W Apache Struts występuje podatność na niekontrolowane zużycie zasobów. Aplikacja udostępniająca punkt końcowy do zbierania raportów naruszeń polityki bezpieczeństwa treści (CSP) odczytuje zgłoszone raporty do pamięci bez ograniczenia ich rozmiaru, co pozwala pojedynczemu żądaniu wyczerpać pamięć i spowodować odmowę usługi. Takie punkty końcowe są zwykle dostępne bez uwierzytelnienia. Aplikacje, które nie zbierają raportów naruszeń, nie są dotknięte.

Wtyczka JSON w Apache Struts jest podatna na ujawnienie danych do niewłaściwej sesji. Stan serializacji odpowiedzi może być współdzielony między równoczesnymi żądaniami, co pozwala na obserwację treści odpowiedzi jednego żądania w innym. Dotyczy to tylko obsługi SMD / JSON-RPC w interceptorze JSON, która nie jest domyślnie włączona; aplikacje używające typu wyniku json nie są dotknięte.

Podatność w Apache Struts wtyczki JSON powoduje, że stan parsowania żądania może być współdzielony między równoczesnymi żądaniami, co umożliwia obserwację danych z jednego żądania w innym oraz nieprzestrzeganie skonfigurowanych limitów parsowania. Domyślnie wypełnianie akcji z treści JSON nie jest włączone, więc aplikacje nieużywające tej wtyczki nie są zagrożone.

Wtyczka JSON w Apache Struts ma podatność niekontrolowanego zużycia zasobów. Gdy aplikacja jest skonfigurowana do wypełniania akcji z treści JSON, wtyczka odczytuje tę treść do pamięci bez ograniczania jej rozmiaru, co pozwala pojedynczemu żądaniu wyczerpać stertę i spowodować odmowę usługi. Konfigurowalny limit długości wejścia JSON nie ogranicza tego odczytu. Podatność dotyczy Apache Struts w wersjach od 2.1.8 do 2.3.37, od 2.5.0 do 2.5.33, od 6.0.0 do 6.10.0 oraz od 7.0.0 do 7.2.1.