Уязвимост в Apache Struts, позволяваща изпълнение на код на сървъра

В уеб фреймворка Apache Struts, използван за създаване на уеб приложения на Java с използване на парадигмата MVC (Model-View-Controller), е установена уязвимост (CVE-2024-53677). Уязвимостта позволява на външен злонамерен потребител да запише файл на произволно място във файловата система на сървъра чрез изпращане на специално оформено HTTP запитване. Проблемът засяга версиите от 2.0.0 до 2.3.37, от 2.5.0 до 2.5.33 и от 6.0.0 до 6.3.0.2 и се проявява в приложения, използващи компонента FileUploadInterceptor за зареждане на файлове на сървъра.

Уязвимость се дължи на липсата на адекватна проверка на параметрите, предавани при качване на файлове. При наличие на достъп до функции за качване на файлове в уеб интерфейса, реализиран на базата на Apache Struts, нападателят може да зададе стойност от вида «..\/..\/..\/..\/..\/webapps\/ROOT» и да постигне запазването на файл извън директорията за съхранение на качени данни (прототип на експлойт). Получавайки възможност за запис на файлове в произволни части от файловата система, може да се организира изпълнението на свои команди на сървър, презаписвайки скриптове или конфигурационни файлове, в зависимост от правата на потребителя, под чието управление работи уеб приложението. Ако уеб приложението се изпълнява в контейнер Apache Tomcat, стартиран с права на root, атакуващият може да получи привилегирован достъп до системата.

Уязвимостите в Apache Struts са значими, тъй като този фреймворк е популярен в корпоративни системи, достъпни чрез уеб. Според статистиката на RedMonk, фреймворкът Apache Struts е бил използван в уеб приложения от 65% от компаниите в списъка Fortune 100. През 2017 година атаката срещу информационната система на компания Equifax, използваща уязвима версия на Apache Struts, доведе до изтичането на лични данни на 143 милиона жители на САЩ.

Източник: opennet.ru