Neue kritische RCE-Schwachstelle in Apache Struts 2
Apache hat eine wichtige Sicherheitswarnung herausgegeben, die vor einer gefährlichen Sicherheitslücke im Open-Source-Webanwendungs-Framework Struts 2 warnt. Diese Schwachstelle, bekannt als CVE-2023-50164, gilt als besonders kritisch, weil sie es einem Angreifer ermöglichen kann, aus der Ferne Code auszuführen
Die neu entdeckte Schwachstelle entsteht durch einen Fehler in der „Datei-Upload-Logik“, der es in bestimmten Fällen erlauben könnte, eine böswillige Datei hochzuladen und damit beliebigen Code auf dem System auszuführen. Struts ist ein Java-Framework, das die Model-View-Controller-(MVC)-Architektur für die Entwicklung unternehmensorientierter Webanwendungen verwendet.
Die Entdeckung und Meldung des Fehlers wird Steven Seeley von Source Incite zugeschrieben. Dieser Fehler betrifft die folgenden Versionen der Software:
- Struts 2.3.37 (EOL)
- Struts 2.5.0 bis Struts 2.5.32 und
- Struts 6.0.0 bis Struts 6.3.0.
Die Fehlerbehebungen sind in den Versionen 2.5.33 und 6.3.0.2 oder höher verfügbar. Es gibt keine alternativen Lösungen, um das Problem zu beheben.
Die Projektbetreuer haben in einem kürzlich veröffentlichten Hinweis allen Entwicklern dringend geraten, dieses Update durchzuführen. Das Update ist einfach zu installieren und sollte ohne Komplikationen funktionieren.
Bis vor kurzem gab es keine Beweise dafür, dass diese Schwachstelle in realen Angriffen ausgenutzt wird. Doch in der Vergangenheit wurde eine andere Sicherheitslücke in dieser Software (CVE-2017-5638, CVSS-Score: 10.0) von Angreifern genutzt, um in das System der Kreditauskunftei Equifax einzudringen.
Nachdem ein Proof-of-Concept (PoC) veröffentlicht wurde, versuchen Cyberkriminelle inzwischen, die Schwachstelle in nicht aktualisierten Apache Struts-Servern auszunutzen, wie die Shadowserver Foundation auf X (früher Twitter) berichtet hat.
Akamai warnt davor, dass diese Schwachstelle jetzt aktiv ausgenutzt wird. Angreifer installieren Web-Shells, um sich dann Zugang zu spezifischen Netzwerken zu verschaffen.
Die Forscher von Praetorian betonten jedoch, dass obwohl die Schwachstelle (CVE-2023-50164) sehr ernst ist, es für Angreifer schwierig sein wird, sie weiterreichend auszunutzen. Das wäre nur möglich, wenn zahlreiche Voraussetzungen erfüllt sind. Beispielsweise muss ein spezieller Datei-Upload-Punkt in der Anwendung verfügbar sein. Daher wäre ein großangelegter Angriff eine große Herausforderung.