CVE-2019-0230
Apache Struts 2.0.0 से 2.5.20 तक के संस्करणों में बाध्य दोहरा OGNL मूल्यांकन, जब टैग विशेषताओं में कच्चे उपयोगकर्ता इनपुट पर मूल्यांकन किया जाता है, तो दूरस्थ कोड निष्पादन का कारण बन सकता है।
- प्रकाशित
- 14 सित॰ 2020
- अद्यतन
- 4 अग॰ 2024
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 17 नव॰ 2020
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache Struts 2.0.0 से 2.5.20 तक के संस्करणों में बाध्य दोहरा OGNL मूल्यांकन, जब टैग विशेषताओं में कच्चे उपयोगकर्ता इनपुट पर मूल्यांकन किया जाता है, तो दूरस्थ कोड निष्पादन का कारण बन सकता है।
स्रोत
struts2/s2-059
Struts2 S2-059 Remote Code Execution Vulnerablity(CVE-2019-0230)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/struts2:2.5.16(struts2/s2-059/docker-compose.yml:services.struts2.image)
http/cves/2019/CVE-2019-0230.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
modules/exploits/multi/http/struts2_multi_eval_ognl.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Linux,Unix($.exploit_multi/http/struts2_multi_eval_ognl.platform)
- verification: check_declared($.exploit_multi/http/struts2_multi_eval_ognl.check)
Apache Struts 2 दूरस्थ कोड निष्पादन भेद्यता CVE-2019-0230 के लिए प्रूफ-ऑफ-कॉन्सेप्ट शोषण, क्राफ्ट किए गए HTTP अनुरोधों के माध्यम से कमांड इंजेक्शन सक्षम करता है।
- Apache-Struts-v4एक्सप्लॉइट
5 Apache Struts RCE कमजोरियों (CVE-2013-2251, CVE-2017-5638, CVE-2017-9805, CVE-2018-11776, CVE-2019-0230) को लक्षित करने वाला शोषण स्क्रिप्ट, PHP शैल पेलोड जनरेशन के साथ।
S2-059(CVE-2019-0230)
CVE-2019-0230 एक्सप्लॉइट POC
CVE-2019-0230 और s2-059 poc.
West Shepherd · multiple · 17 नव॰ 2020
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।