Güvenlik araştırmacıları Apache Struts web uygulama framework’ünde bir sıfırıncı gün açığı keşfettiler.

 

Ve açık istismar edilmeye başlanmış gözüküyor.

 

Apache Struts açık kaynaklı REST, AJAX ve JSON destekleyen modern Java web uygulamaları geliştirmek için bir MVC (Model-View-Controller) framework’ü.

 

Cisco’nun Tehdit istihbaratı firması Talos tarafından CVE-2017-5638 numaralı sıfırıncı gün açıklığını istismar eden ataklar keşfedildi.

 

Araştırmacılara göre, Apache Struts’ın Jakarta Multipart parser’ından kaynaklanan bu açıklık parser üserinden dosya yüklenirken ortaya çıkıyor ve uzaktan kod çalıştırmaya olanak veriyor.

 

Apache’nin uyarısı: Eğer Content-Type değeri geçerli değil ise bir hata kodu atanıyor ve kullanıcıya bir hata mesajı çıkıyor. Zararlı bir Content-Type değeri ile uzaktan kod çalıştırılması mümkün olabiliyor.

 

Eğer Apache Struts 2 ile Jakarta tabanlı dosya yükleme kullanıyorsanız 2.3.32 ya da 2.5.10.1 sürümlerine geçmeniz şiddetle tavsiye ediliyor.