🚨🚨 CVE-2024-53677-S2-067🚨🚨

Advisory di Sicurezza: CVE-2024-53677 – Vulnerabilità Critica di Esecuzione Remota di Codice in Apache Struts

Data dell'Advisory: 14 dicembre 2024

ID CVE: CVE-2024-53677

Punteggio CVSS: 9.5 (Critico)

Panoramica

Una vulnerabilità critica, CVE-2024-53677, è stata identificata nel popolare framework Apache Struts, che potrebbe potenzialmente consentire agli aggressori di eseguire codice arbitrario in remoto. Questa vulnerabilità deriva da difetti nella logica di upload dei file, che possono essere sfruttati per effettuare path traversal e upload di file dannosi.

La vulnerabilità impatta versioni specifiche di Apache Struts e richiede attenzione immediata da parte di sviluppatori e amministratori per mitigare il rischio di sfruttamento.

Versioni Vulnerabili

Le seguenti versioni di Apache Struts sono interessate: 2.0.0 a 2.5.33 6.0.0 a 6.3.0.2 Il problema è stato risolto in Apache Struts 6.4.0 e versioni successive

Descrizione

CVE-2024-53677 è una vulnerabilità critica che consente agli aggressori di sfruttare debolezze nel meccanismo di upload dei file di Apache Struts. Manipolando i parametri di upload dei file, un aggressore può ottenere quanto segue:

• Path Traversal: Caricare file in posizioni arbitrarie all'interno del server, bypassando i meccanismi di sicurezza.
• Esecuzione Remota di Codice (RCE): Eseguire codice maligno caricando e attivando file eseguibili, come script .jsp o payload binari. Secondo l'advisory di Apache Struts, la vulnerabilità non è retrocompatibile con i meccanismi di upload dei file più vecchi. Di conseguenza, le organizzazioni che utilizzano il metodo di upload dei file deprecato devono riscrivere le loro azioni per adottare il nuovo meccanismo sicuro introdotto nella versione 6.4.0.