Vulnérabilité dans Apache Struts permettant l'exécution de code sur le serveur

Dans le framework web Apache Struts, utilisé pour créer des applications web en Java selon le paradigme MVC (Model-View-Controller), une vulnérabilité a été découverte (CVE-2024-53677). Cette vulnérabilité permet à un attaquant externe d'écrire un fichier à un emplacement arbitraire sur le système de fichiers du serveur en envoyant une requête HTTP spécifiquement formatée. Le problème concerne les versions de 2.0.0 à 2.3.37, de 2.5.0 à 2.5.33 et de 6.0.0 à 6.3.0.2, et se manifeste dans les applications utilisant le composant FileUploadInterceptor pour le téléchargement de fichiers sur le serveur.

La vulnérabilité est causée par l'absence de vérification adéquate des paramètres transmis lors du téléchargement de fichiers. Lorsqu'un accès aux fonctions de téléchargement de fichiers est présent dans l'interface web basée sur Apache Struts, un attaquant peut spécifier une valeur telle que «..\/..\/..\/..\/..\/webapps\/ROOT» et réussir à sauvegarder un fichier en dehors du répertoire de stockage des données téléchargées (prototype d'exploit). En obtenant la possibilité d'écrire des fichiers dans des parties arbitraires du système de fichiers, il est possible d'organiser l'exécution de commandes. le serveur, en écrasant des scripts ou des fichiers de configuration, selon les droits de l'utilisateur sous lequel l'application web s'exécute. Si l'application web s'exécute dans un conteneur Apache Tomcat avec des droits root, l'attaquant peut obtenir un accès privilégié au système.

Les vulnérabilités dans Apache Struts sont significatives car ce framework est populaire dans les systèmes d'entreprise accessibles via le web. Selon les statistiques de RedMonk, le framework Apache Struts a été utilisé dans des applications web par 65 % des entreprises du classement Fortune 100. En 2017, une attaque contre le système d'information de l'entreprise Equifax, utilisant une version vulnérable d'Apache Struts, a conduit à la fuite de données personnelles de 143 millions d'habitants des États-Unis.

Source : opennet.ru