عوامل تهدید تلاش می‌کنند از آسیب‌پذیری حیاتی اخیرا فاش شده با شناسه CVE-2024-53677 و امتیاز CVSS 9.5 سوء استفاده کنند که بر Apache Struts تأثیر می‌گذارد و می‌تواند راه را برای اجرای کد از راه دور هموار کند.
این آسیب‌پذیری شباهت‌هایی با نقص مهم دیگری با شناسه CVE-2023-50164 و امتیاز: 9.8 دارد که توسعه‌دهندگان پروژه در دسامبر 2023 آن را برطرف کردند و مدت کوتاهی پس از افشای عمومی نیز اکسپلویت شد. بنابر اطلاعیه Apache، مهاجم می‌تواند با دستکاری پارامترهای آپلود فایل، پیمایش مسیرها را فعال کند که تحت برخی شرایط منجر به آپلود فایل مخرب می‌شود و می‌تواند برای RCE استفاده شود.
اکسپلویت موفقیت‌آمیز می‌تواند امکان آپلود پیلودهای دلخواه در نمونه‌های حساس را برای نفوذگر فراهم سازد تا برای اجرای دستورات، استخراج داده‌ها یا دانلود پیلودهای اضافی جهت بهره‌برداری بعدی مورد استفاده قرار گیرد. به گفته رئیس تحقیقات موسسه فناوری SANS، پچ ناقص برای CVE-2023-50164 ممکن است به نقص جدید منجر شده باشد و تلاش‌های اکسپلویت مطابق با کد PoC منتشر شده عمومی شناسایی شده است.
این آسیب‌پذیری بر نسخه‌های زیر تأثیر می‌گذارد و در نسخه Struts 6.4.0 یا بالاتر وصله شده است:
- Struts 2.0.0 – Struts 2.3.37 (پایان پشتیبانی)
- Struts 2.5.0 – Struts 2.5.33
- Struts 6.0.0 – Struts 6.3.0.2
https://www.bleepingcomputer.com/news/security/new-critical-apache-struts-flaw-exploited-to-find-vulnerable-servers/
https://thehackernews.com/2024/12/patch-alert-critical-apache-struts-flaw.html
