CVE-2012-0394
Apache Struts 2.3.1.1 से पहले के संस्करणों में DebuggingInterceptor घटक, जब डेवलपर मोड का उपयोग किया जाता है, दूरस्थ हमलावरों को अनिर्दिष्ट वैक्टरों के माध्यम से मनमाने कमांड निष्पादित करने की अनुमति देता है। नोट:...
- प्रकाशित
- 8 जन॰ 2012
- अद्यतन
- 6 अग॰ 2024
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 6 जन॰ 2012
प्राथमिक सीवीएसएस
nvd · CVSS 2.0
AV:N/AC:M/Au:N/C:P/I:P/A:Pउच्च · अगले 30 दिन
- प्रतिशत
- 99.4%
- मॉडल दिनांक
- 15 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache Struts 2.3.1.1 से पहले के संस्करणों में DebuggingInterceptor घटक, जब डेवलपर मोड का उपयोग किया जाता है, दूरस्थ हमलावरों को अनिर्दिष्ट वैक्टरों के माध्यम से मनमाने कमांड निष्पादित करने की अनुमति देता है। नोट: विक्रेता इस व्यवहार को "स्वयं एक सुरक्षा भेद्यता" नहीं मानता है।
स्रोत
http/cves/2012/CVE-2012-0394.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
modules/exploits/multi/http/struts_dev_mode.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Java($.exploit_multi/http/struts_dev_mode.platform)
- verification: check_declared($.exploit_multi/http/struts_dev_mode.check)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।