CVE-2017-9805
Apache Struts में अविश्वसनीय डेटा का डिसीरियलाइज़ेशन भेद्यता
- प्रकाशित
- 15 सित॰ 2017
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 6 सित॰ 2017
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 13 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Apache Struts 2.1.1 से लेकर 2.3.34 से पहले के 2.3.x संस्करणों तक और 2.5.13 से पहले के 2.5.x संस्करणों में REST प्लगइन, डिसीरियलाइज़ेशन के लिए बिना किसी टाइप फ़िल्टरिंग के XStreamHandler के साथ XStream के एक इंस्टेंस का उपयोग करता है, जिससे XML पेलोड को डिसीरियलाइज़ करने पर रिमोट कोड एक्ज़ीक्यूशन (Remote Code Execution) हो सकता है।
स्रोत
http/cves/2017/CVE-2017-9805.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
- Vulhub vulnerability labs
घोषित शर्तें
- lab image version: vulhub/struts2:2.5.12-rest-showcase(struts2/s2-052/docker-compose.yml:services.struts2.image)
modules/exploits/multi/http/struts2_rest_xstream.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Linux,Python,Unix,Windows($.exploit_multi/http/struts2_rest_xstream.platform)
- verification: check_declared($.exploit_multi/http/struts2_rest_xstream.check)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।