s2-067-CVE-2024-53677

s2-067(CVE-2024-53677) Résumé La logique de téléchargement de fichiers est défaillante et permet à un attaquant d'activer des parcours de chemin - problème similaire à celui rapporté dans S2-066

Qui devrait lire ceci Tous les développeurs et utilisateurs de Struts 2

Impact de la vulnérabilité Exécution de code à distance

Niveau de sécurité maximal Critique

Recommandation Mettez à niveau vers Struts 6.4.0 ou supérieur et utilisez Action File Upload Interceptor

Logiciels concernés Struts 2.0.0 - Struts 2.3.37 (EOL), Struts 2.5.0 - Struts 2.5.33, Struts 6.0.0 - Struts 6.3.0.2

Rapporteurs Shinsaku Nomura

Identifiant CVE CVE-2024-53677

Problème Un attaquant peut manipuler les paramètres de téléchargement de fichiers pour permettre le parcours de chemins et, dans certaines circonstances, cela peut conduire au téléchargement d'un fichier malveillant pouvant être utilisé pour exécuter du code à distance.

Note : les applications n'utilisant pas FileUploadInterceptor sont sûres.

Solution Mettez à niveau vers Struts 6.4.0 ou supérieur et migrez vers le nouveau mécanisme de téléchargement de fichiers.

Compatibilité ascendante Ce changement n'est pas rétrocompatible car vous devez réécrire vos actions pour commencer à utiliser le nouveau mécanisme Action File Upload et l'intercepteur associé. Continuer à utiliser l'ancien mécanisme de téléchargement de fichiers vous rend vulnérable à cette attaque.

Solution de contournement

Détail CVE-2024-53677 Reçu Cette vulnérabilité a été reçue par le NVD et n'a pas encore été analysée.

Description La logique de téléchargement de fichiers est une vulnérabilité défaillante dans Apache Struts. Ce problème affecte Apache Struts : de la version 2.0.0 à la version 6.4.0 exclue. Il est recommandé aux utilisateurs de passer à la version 6.4.0, qui corrige le problème. Vous trouverez plus de détails sur https://cwiki.apache.org/confluence/display/WW/S2-067