Lỗ hổng nghiêm trọng mới trong Apache Struts cho phép kẻ tấn công kiểm soát toàn bộ máy chủ bị ảnh hưởng

By | 11:31 am | 06/09/2017

apache-struts-vulnerability

Các nhà nghiên cứu bảo mật đã phát hiện ra một lỗ hổng trên Apache Struts cho phép kẻ tấn công thực thi lệnh từ xa trên các máy chủ bị ảnh hưởng.

Apache Struts là một framework mã nguồn mở, miễn phí và sử dụng kiến trúc MVC () cho việc phát triển các ứng dụng web bằng ngôn ngữ lập trình Java EE (J2EE) hỗ trợ .

Lỗ hổng CVE-2017-9805 là một lỗ hổng về lập trình, nằm trong cách Struts xử lý dữ liệu từ một nguồn không đáng tin cậy. Cụ thể, plugin Struts REST xử lý không đúng các XML payload trong quá trình deserialize chúng.

  • Serialize là tiến trình biến đổi trạng thái của đối tượng theo một định dạng có thể được lưu trữ hay dịch chuyển.
  • Deserialize là tiến trình ngược lại.

Tất cả các phiên bản của Apache Struts từ năm 2008 (từ Struts 2.5 đến Struts 2.5.12) đều bị ảnh hưởng.

Theo Man Yue Mo, một nhà nghiên cứu bảo mật của LGTM cho biết, Struts đang được sử dụng bởi nhiều các tổ chức, bao gồm Lockheed Martin, Vodafone, Virgin Atlantic và IRS; lỗ hổng này rất dễ để khai thác, kẻ tấn công chỉ cần gửi mã XML độc hại dưới một định dạng cụ thể để kích hoạt lỗ hổng trên máy chủ mục tiêu.

Việc khai thác lỗ hổng thành công có thể cho phép kẻ tấn công kiểm soát toàn bộ máy chủ bị ảnh hưởng, sau đó thâm nhập vào các hệ thống khác trong cùng mạng.

Man Yue Mo cho biết lỗ hổng này tương tự như một lỗ hổng trong Apache Commons Collections, được phát hiện bởi Chris Frohoff và Gabriel Lawrence vào năm 2015, mà cũng cho phép thực thi lệnh tùy ý.

Lỗ hổng này đã được vá trong phiên bản Struts 2.5.13, các quản trị viên cần nâng cấp Apache Struts càng sớm càng tốt.

Theo: The Hacker News