Nel framework web Apache Struts, utilizzato per creare applicazioni web in Java seguendo la paradigma MVC (Model-View-Controller), è stata scoperta una vulnerabilità (CVE-2024-53677). La vulnerabilità consente a un attaccante esterno di scrivere un file in un luogo a piacere nel file system del server inviando una richiesta HTTP appositamente formata. Il problema riguarda le versioni dalla 2.0.0 alla 2.3.37, dalla 2.5.0 alla 2.5.33 e dalla 6.0.0 alla 6.3.0.2, e si manifesta nelle applicazioni che utilizzano il componente FileUploadInterceptor per il caricamento di file sul server.
La vulnerabilità è causata dall'assenza di un'adeguata verifica dei parametri trasmessi durante il caricamento dei file. Se si ha accesso alle funzioni di caricamento dei file nell'interfaccia web basata su Apache Struts, l'attaccante può specificare un valore del tipo «..\/..\/..\/..\/..\/webapps\/ROOT» e ottenere il salvataggio del file al di fuori della cartella destinata allo storage dei dati caricati (prototipo dell'exploit). Ottenendo la possibilità di scrivere file in parti arbitrarie del FS, è possibile eseguire i propri comandi su server, sovrascrivendo script o file di configurazione, a seconda dei diritti dell'utente con cui viene eseguita l'applicazione web. Se l'applicazione web è eseguita all'interno di un contenitore Apache Tomcat avviato con diritti di root, l'attaccante può ottenere accesso privilegiato al sistema.
Le vulnerabilità in Apache Struts sono significative poiché questo framework è ampiamente utilizzato nei sistemi aziendali accessibili tramite web. Secondo le statistiche di RedMonk, il framework Apache Struts è stato utilizzato nelle applicazioni web dal 65% delle aziende nella lista Fortune 100. Nel 2017, un attacco al sistema informatico della società Equifax, che utilizzava una versione vulnerabile di Apache Struts, ha portato alla fuoriuscita di dati personali di 143 milioni di cittadini statunitensi.
Fonte: opennet.ru
