BDU:2023-08547: Уязвимость программной платформы Apache Struts, связанная с использованием файлов и каталогов, доступных внешним сторонам, позволяющая нарушителю выполнить произвольный код
Детали уязвимости BDU:2023-08547
Описание
Уязвимость программной платформы Apache Struts связана с использованием файлов и каталогов, доступных внешним сторонам в результате неверного ограничения имени пути к каталогу с ограниченным доступом при загрузке файлов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код
Что делать с BDU:2023-08547
Критическая уязвимость (CVSS 9.8) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:CCVE — международный идентификатор
Позволяет получить доступ к файлам за пределами разрешённой директории через ../ последовательности.
Как атакуют и что делать ▾
Сценарий атаки
Через параметр пути передаётся ../../etc/passwd — сервер возвращает файл за пределами разрешённой директории.
Последствия
Чтение конфигураций, паролей, ключей. В некоторых случаях — запись произвольных файлов.
Рекомендации
Нормализуйте пути (realpath), используйте chroot/jail, запретите ../ в пользовательском вводе.
Тактики и техники
Уязвимое ПО (3)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Apache Software Foundation | Struts | от 2.0.0 до 2.3.37 включительно | Не указана |
| Apache Software Foundation | Struts | от 2.5.0 до 2.5.32 включительно | Не указана |
| Apache Software Foundation | Struts | от 6.0.0 до 6.3.0 включительно | Не указана |
Рекомендации по устранению
Использование рекомендаций: https://lists.apache.org/thread/yh09b3fkf6vz5d6jdgrlvmg60lfwtqhj https://cwiki.apache.org/confluence/display/WW/S2-066 https://cwiki.apache.org/confluence/display/WW/Version+Notes+6.3.0.2 https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.33
SLA ФСТЭК №117
24 часа
по базовой оценке CVSS 9.8
Уточните SLA под вашу среду
Базовый балл 9.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Немедленно устранить
Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2023-12-03
Опубликована
2023-12-11
Обновлена
2023-12-11
Эксплойт
Данные уточняются
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.
- Уязвимости → активы → ответственные — цепочка за минуту
- SLA-таймеры и эскалация — дедлайны не горят
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость программной платформы Apache Struts, связанная с отсутствием проверки подлинности XML-документов, позволяющая
Уязвимость программной платформы Apache Struts, связанная с неполной очисткой временных или вспомогательных ресурсов, по
Уязвимость Q&A-платформы Apache Answer, связанная с возвратом ссылки на защищённые данные из публичного метода, позволяю
Уязвимость механизма File Upload программной платформы Apache Struts, позволяющая нарушителю выполнить произвольный код
Уязвимость конфигурации struts.multipart.saveDir программной платформы Apache Struts, позволяющая нарушителю вызвать отк
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.