Разработките на Java приложения са изложени на риск от новооткрит

Разработките на Java приложения са изложени на риск от новооткрит бъг
(снимка: CC0 Public Domain)

Нова сериозна накърнимост е открита в известен фреймуърк за Java. Б ъг в Struts 2 разрешава зареждане на външни файлове и осъществяване на случаен код. Експертите предлагат незабавно инсталиране на към този момент пуснатите актуализации, защото употребата на уязвимостта е в разгара си.

Фондацията Apache уведоми обществеността за сериозна накърнимост в своята известна рамка за разработка на уеб приложения Struts 2. Критичната накърнимост CVE-2023-50164 разрешава осъществяване на злоумишлен код в подтекста на Struts 2.

Проблемът е обвързван с неточност в „ логиката за качване на файл ”, която разрешава да бъде заобиколен плануваният път и при избрани условия атакуващите могат да качат злоумишлен файл и да провокират осъществяване на случаен код.

Уязвимостта е открита от Стивън Сийли от Source Incite. Версиите, за които сега се знае, че са уязвими, са Struts 2.3.37 (остаряла), Struts 2.5.0 – Struts 2.5.32 и Struts 6.0.0 – Struts 6.3.0.1. Съответните корекции, индексирани като 2.5.33 и 6.3.0.2, отстраняват грешката. Процесът на инсталиране на актуализациите е банален.
още по темата
Struts 2 е рамка за основаване на уеб приложения в Java, която се отличава с по-гъвкава архитектура – Model-View-Controller (MVC), интегрирана AJAX поддръжка за основаване на интерактивни приложения и други преимущества.

Разработчиците настояват, че Struts разполага с вградени механизми за сигурност и отбрана против офанзиви, само че тази рамка постоянно се оказва в заглавията на новините за киберсигурност, заради откриването на неточности в нея, в това число сериозни.

Бюлетинът на Apache мощно предлага инсталиране на най-новите актуализации за премахване на новооткритата накърнимост. Освен това е подготвен тестов експлойт: оповестен е в GitHub и към този момент има опити да се употребява в действителни офанзиви.

Представители на Akamai споделят пред The ​​Hacker News, че нападателите се пробват да употребяват тази накърнимост, с цел да конфигурират уеб обвивки и да открият наличието си в мрежите на други консуматори. Усилията им наподобяват сполучливи най-малко в някои случаи.