В Apache Struts обнаружена критическая уязвимость

Исследователь безопасности компании Semmle Мань Юэ Мо (Man Yue Mo) обнаружил в популярном фреймворке для web-приложений Apache Struts критическую уязвимость (CVE-2018-11776). Проблема затрагивает ядро фреймворка и позволяет удаленно выполнить код.

Уязвимость существует из-за недостаточной проверки вводимых пользователем недоверенных данных при определенных конфигурациях Apache Struts. Для эксплуатации уязвимости нужно пройти по особым образом сконфигурированной ссылке на уязвимом web-сервере. Это позволит злоумышленнику выполнить код и потенциально захватить управление сервером, на котором запущено уязвимое приложение.

Проблема затрагивает все приложения, использующие поддерживаемые (от Struts 2.3 до Struts 2.3.34 и от Struts 2.5 до Struts 2.5.16) и некоторые неподдерживаемые версии фреймворка. Реализации Apache Struts являются уязвимыми, если:

В конфигурации фреймворка флаг alwaysSelectFullNamespace установлен как "true";

Конфигурационный файл Apache Struts содержит теги "action" или "url", в которых не указывается необязательный атрибут пространства имен или указываются подстановочные символы пространства имен.

По словам исследователя, даже если приложение не уязвимо сейчас, оно может стать таковым, если в конфигурационный файл Apache Struts будут случайно внесены изменения. Проблема была исправлена с выходом версий 2.3.35 и 2.5.17.