Kritiek lek in Apache Struts 2 maakt remote code execution mogelijk

[Captain Kirk]

Een kritieke kwetsbaarheid in Apache Struts 2 maakt remote code execution mogelijk en overheidsinstanties roepen beheerders en organisaties op om de beschikbaar gestelde beveiligingsupdate te installeren. Kwetsbaarheden in Apache Struts zijn in het verleden vaker gebruikt bij aanvallen. Struts is een zeer populair opensourceframework voor het ontwikkelen van Java-webapplicaties en websites.

Via het kritieke beveiligingslek, aangeduid als CVE-2024-53677, kan een remote aanvaller parameters voor het uploaden van bestanden aanpassen, waardoor path traversal en in sommige gevallen het uploaden van malafide bestanden mogelijk is, wat kan leiden tot remote code execution. Het probleem is verholpen in Struts 6.4.0. Onder de kwetsbare versies bevinden zich ook Struts 2.0.0 - Struts 2.3.37, die end-of-life zijn en niet meer worden ondersteund. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.5.

De Australische overheid heeft vandaag een waarschuwing voor de kwetsbaarheid gegeven. Ook de Belgische overheid kwam met een beveiligingsbulletin. "Deze kwetsbaarheid is met name zorgwekkend, omdat het op afstand zonder gebruikersinteractie is te misbruiken. Organisaties die van kwetsbare Struts 2-versies gebruikmaken moeten dringend dit risico beoordelen en verhelpen om mogelijke verstoringen te voorkomen", zo stelt het Centrum voor Cybersecurity België (CCB).

In 2017 wisten aanvallers via een kritieke Struts-kwetsbaarheid de gegevens van meer dan 147 miljoen Amerikanen bij het Amerikaanse kredietbureau Equifax te stelen. Vorig jaar december werd er actief misbruik gemaakt van een andere kwetsbaarheid (CVE-2023-50164). Net zoals het nu verholpen beveiligingslek maakt ook CVE-2023-50164 het mogelijk voor aanvallers om parameters voor het uploaden van bestanden aan te passen, waardoor path traversal en het uploaden van malafide bestanden mogelijk wordt, wat weer kan leiden tot remote code execution.

 

bron: https://www.security.nl