rvermeulen/apache-struts-cve-2017-9805Exploit para Apache Struts CVE-2017-9805, una vulnerabilidad de ejecución remota de código en el plugin REST. Permite realizar pruebas de penetración y evaluación de seguridad en aplicaciones web Java basadas en Struts.
El framework web Apache Struts es una solución gratuita de código abierto para crear aplicaciones web Java.
Las aplicaciones web se diferencian de los sitios web convencionales en que las aplicaciones web pueden crear una respuesta dinámica. Muchos sitios web entregan solo páginas estáticas. Una aplicación web puede interactuar con bases de datos y motores de lógica de negocio para personalizar una respuesta.
Las aplicaciones web basadas en JavaServer Pages a veces combinan código de base de datos, código de diseño de página y código de flujo de control. En la práctica, encontramos que a menos que estas preocupaciones estén separadas, las aplicaciones más grandes se vuelven difíciles de mantener.
Una forma de separar preocupaciones en una aplicación de software es usar una arquitectura Modelo-Vista-Controlador (MVC). El Modelo representa el código de negocio o base de datos, la Vista representa el código de diseño de página y el Controlador representa el código de navegación. El framework Struts está diseñado para ayudar a los desarrolladores a crear aplicaciones web que utilicen una arquitectura MVC.
El framework proporciona tres componentes clave:
La arquitectura y las etiquetas del framework cumplen con las palabras de moda. Struts funciona bien con aplicaciones REST convencionales y con tecnologías como SOAP y AJAX.
El Proyecto Apache Struts es la comunidad de código abierto que crea y mantiene el framework Apache Struts. El proyecto consiste en un grupo diverso de voluntarios que comparten valores comunes respecto al desarrollo colaborativo de código abierto basado en comunidad. El Proyecto Apache Struts se enorgullece de compartir estos valores con nuestra organización matriz: la Apache Software Foundation.
El proyecto se llama "Struts" porque el framework está destinado a proporcionar los "cimientos invisibles" que apoyan el desarrollo profesional de aplicaciones. Struts proporciona el pegamento que une los diversos elementos de la plataforma Java estándar en un todo coherente. Nuestro objetivo es aprovechar los estándares existentes produciendo las piezas faltantes que necesitamos para crear aplicaciones de nivel empresarial que sean fáciles de mantener con el tiempo.
El Proyecto Apache Struts ofreció dos versiones principales del framework Struts. Actualmente solo mantenemos la versión Struts 2. Se recomienda actualizar todas las aplicaciones Struts 1.x a Struts 2. Por favor, no inicie el desarrollo de nuevas aplicaciones usando Struts 1.x, ya que ya no emitimos parches de seguridad.
Struts 2 fue originalmente conocido como WebWork 2. Después de trabajar de forma independiente durante varios años, las comunidades de WebWork y Struts unieron fuerzas para crear Struts 2. El framework 2.x es la mejor opción para equipos que valoran soluciones elegantes a problemas difíciles.
Apache Struts es un framework web moderno, mantenido y completo. Ha estado ahí durante años y, dada la enorme base de usuarios, es poco probable que desaparezca en un futuro próximo. No solo eso, tenemos usuarios y desarrolladores dedicados al proyecto. Apache Struts está licenciado bajo la Licencia Apache 2.0 y esto no cambiará. Mantenemos una PI limpia y estás "seguro" al usar el proyecto. A veces no estás "seguro" al usar un proyecto cuando una empresa controla el SCM. El acceso al código fuente no significa que sea gratuito. Con Apache Struts, no solo eres libre de "hacer lo que quieras con él", sino que también puedes contribuir (lo que no siempre es el caso). Y lo mejor: también puedes formar parte del equipo central.
Generalmente es muy fácil integrar otras tecnologías con Apache Struts. Si estás usando un ORM como Apache Cayenne, Hibernate o JDBC, no tendrás restricciones. Apache Struts ni siquiera está demasiado vinculado a una tecnología de frontend. En tiempos pasados era JSP, luego llegaron Velocity y Freemarker. Hoy en día podrías construir tu aplicación web con solo HTML estático y AngularJS. O quieres usar Sitemesh o Tiles. Todo esto no es un problema gracias a los mecanismos de extensión elegantes y fáciles de usar de Struts.
A diferencia de otros frameworks orientados a componentes, no pretendemos ocultar la naturaleza sin estado de la web. Creemos que es perfectamente aceptable construir sobre un ciclo de Solicitud/Respuesta. También pensamos que el patrón MVC no es tan malo solo porque es antiguo. De hecho, creemos que la arquitectura de Apache Struts es limpia y fácil de entender.
Por supuesto, si deseas construir componentes en el lado del servidor que se rendericen en el lado del frontend, probablemente estés equivocado con Struts. Este es un enfoque diferente que promete reducir la cantidad de conocimiento de HTML/JavaScript necesario y crear componentes reutilizables para la capa de vista. Proyectos como Wicket y Tapestry cumplen muy bien este propósito. Como con todo framework, debes decidir si tiene sentido para ti construir componentes o si estás mejor con el enfoque de Struts.
