Në kuadër të shfletuesit web Apache Struts, i përdorur për krijimin e aplikacioneve web në gjuhën Java me përdorimin e paradigmes MVC (Model-View-Controller), është zbuluar një dobësi (CVE-2024-53677). Kjo dobësi i jep mundësinë një sulmuesi të jashtëm që të shkruaj një skedar në një vend të çfarëdo në sistemin e skedarëve në server përmes dërgimit të një kërkese HTTP të formuar në mënyrë specifike. Problemi prek versionet nga 2.0.0 në 2.3.37, nga 2.5.0 në 2.5.33 dhe nga 6.0.0 në 6.3.0.2, dhe shfaqet në aplikacione që përdorin komponentin FileUploadInterceptor për ngarkimin e skedareve në server.
Dobësia shkaktohet nga mungesa e kontrollit të duhur të parametrave të dërguar gjatë ngarkimit të skedareve. Nëse ka qasje në funksionet e ngarkimit të skedareve në ndërfaqen web të realizuar mbi Apache Struts, sulmuesi mund të specifikojë një vlerë të tillë si «../../../../../webapps/ROOT» dhe të arrijë të ruajë një skedar jashtë katalogut për ruajtjen e të dhënave të ngarkuara (prototip i eksplotit). Me mundësinë e shkruarjes së skedareve në pjesë të çfarëdo të FS, mund të organizohet ekzekutimi i komandave të veta. serveri, duke regjistruar skenare ose skedarë konfigurimi, sa lejojnë të drejtat e përdoruesit me të cilat ekzekutohet aplikacioni web. Nëse aplikacioni web ekzekutohet në një kontejner Apache Tomcat, i cili funksionon me të drejtat e root, sulmuesi mund të marrë qasje të privilegjuar në sistem.
Dobësitë në Apache Struts janë të rëndësishme, sepse ky kornizë është e njohur në sistemet e korporatave që aksesohen përmes webit. Sipas statistikave nga RedMonk, korniza Apache Struts është përdorur në aplikacione web nga 65% të kompanive në listën e Fortune 100. Në vitin 2017, një sulm ndaj sistemit informativ të kompanisë Equifax, që përdorte një version të cenueshëm të Apache Struts, çoi në rrjedhjen e të dhënave personale të 143 milion banorëve të SHBA.
Burimi: opennet.ru
