tam-k592/cve-2024-53677-s2-067
Uma vulnerabilidade crítica, CVE-2024-53677, foi identificada no popular framework Apache Struts, potencialmente permitindo que atacantes executem código arbitrário remotamente. Esta vulnerabilidade surge de falhas na lógica de upload de arquivos, que podem ser exploradas para realizar path traversal e uploads de arquivos maliciosos.
🚨🚨 CVE-2024-53677-S2-067🚨🚨
Aviso de Segurança: CVE-2024-53677 – Vulnerabilidade Crítica de Execução Remota de Código no Apache Struts
Data do Aviso: 14 de dezembro de 2024
ID do CVE: CVE-2024-53677
Pontuação CVSS: 9.5 (Crítico)
Visão Geral
Uma vulnerabilidade crítica, CVE-2024-53677, foi identificada no popular framework Apache Struts, permitindo potencialmente que atacantes executem código arbitrário remotamente. Esta vulnerabilidade decorre de falhas na lógica de upload de arquivos, que podem ser exploradas para realizar travessia de diretório e uploads maliciosos.
A vulnerabilidade afeta versões específicas do Apache Struts e requer atenção imediata de desenvolvedores e administradores para mitigar o risco de exploração.
Versões Vulneráveis
As seguintes versões do Apache Struts são afetadas: 2.0.0 a 2.5.33 6.0.0 a 6.3.0.2 O problema foi resolvido no Apache Struts 6.4.0 e versões posteriores
Descrição
CVE-2024-53677 é uma vulnerabilidade crítica que permite a atacantes explorar fraquezas no mecanismo de upload de arquivos do Apache Struts. Ao manipular os parâmetros de upload de arquivos, um atacante pode conseguir o seguinte: Travessia de Diretório: Fazer upload de arquivos para locais arbitrários no servidor, contornando mecanismos de segurança. Execução Remota de Código (RCE): Executar código malicioso ao fazer upload e acionar arquivos executáveis, como scripts .jsp ou cargas binárias. De acordo com o aviso do Apache Struts, a vulnerabilidade não é compatível com versões anteriores de mecanismos de upload de arquivos. Assim, organizações que utilizam o método de upload obsoleto devem reescrever suas ações para adotar o novo mecanismo seguro introduzido na versão 6.4.0.
Mitigação
