آپاچی یک هشدار امنیتی درباره یک نقص امنیتی مهم در چارچوب برنامه وب منبع‌باز Struts 2 منتشر کرده است که می‌تواند منجر به اجرای کد از راه دور شود.
این آسیب‌پذیری که به‌عنوان CVE-2023-50164 ردیابی می‌شود[۱]، ریشه در یک «منطق آپلود فایل» معیوب دارد[۲] که می‌تواند پیمایش مسیر غیرمجاز را فعال کند و تحت شرایطی برای آپلود یک فایل مخرب و اجرای کد دلخواه مورد بهره‌برداری قرار گیرد.
Struts یک چارچوب جاوا است که از معماری[۳] Model-View-Controller (MVC) برای ساخت برنامه‌های کاربردی وب سازمانی استفاده می‌کند.
استیون سیلی از Source Incite با کشف و گزارش این نقص اعتبار دارد که بر این نسخه‌های نرم‌افزار تأثیر می‌گذارد:
- Struts 2.3.37 (EOL)
- Struts 2.5.0 – Struts 2.5.32
- Struts 6.0.0 – Struts 6.3.0
وصله‌های مربوط به این باگ در نسخه‌های ۲٫۵٫۳۳ و ۶٫۳٫۰٫۲ یا بالاتر موجود است. هیچ راه حلی وجود ندارد که این مشکل را برطرف کند.
سازندگان پروژه در گزارشی که هفته گذشته منتشر شد، گفتند[۴]: «به همه توسعه‌دهندگان اکیداً توصیه می‌شود که این ارتقا را انجام دهند. این یک جایگزین drop-in است و ارتقا باید ساده باشد.»
درحالی‌که هیچ مدرکی مبنی بر بهره‌برداری از این آسیب‌پذیری در حملات دنیای واقعی وجود ندارد، یک نقص امنیتی قبلی[۵] در این نرم‌افزار (CVE-2017-5638، امتیاز ۱۰ در مقیاس CVSS) توسط عوامل تهدید برای رخنه[۶] در آژانس گزارش‌دهی اعتبار مصرف‌کننده Equifax در سال ۲۰۱۷ مورد استفاده قرار گرفت.
منابع
[۱] https://nvd.nist.gov/vuln/detail/CVE-2023-50164
[۲] https://cwiki.apache.org/confluence/display/WW/S2-066
[۳] https://en.wikipedia.org/wiki/Model%E2%80%93view%E2%80%93controller
[۴] https://struts.apache.org/announce-2023#a20231207-1
[۵] https://nvd.nist.gov/vuln/detail/cve-2017-5638
[۶] https://apa.aut.ac.ir/?p=5482
[۷] https://thehackernews.com/2023/12/new-critical-rce-vulnerability.html
ثبت ديدگاه