Apache در خصوص یک نقص امنیتی مهم به شناسه CVE-2023-50164 در چارچوب وب اپلیکیشن منبع باز Struts 2 که می‌تواند منجر به اجرای کد از راه دور شود، یک هشدار امنیتی منتشر کرد.
آسیب‌پذیری یاد شده، در یک «file upload logic» معیوب ریشه دارد که می‌تواند با فعال کردن پیمایش مسیر غیر مجاز (unauthorized path traversal)، تحت برخی شرایط با هدف بارگذاری فایلی مخرب و اجرای کد دلخواه exploit شود.
Struts یک چارچوب جاوا است که به منظور ساخت وب اپلیکیشن‌های سازمانی از معماری Model-View-Controller (MVC) استفاده می‌کند.
بنابر گفته پژوهشگر Source Incite که این نقص را کشف و گزارش کرده است، نسخه‌های نرم‌افزار تحت تأثیر به شرح زیر است:
- Struts 2.3.37 (EOL)
- Struts 2.5.0 – Struts 2.5.32
- Struts 6.0.0 – Struts 6.3.0
✔️ وصله‌های مربوط به این باگ در نسخه‌های 2.5.33 و 6.3.0.2 یا بالاتر موجود است. گفتنی است که هیچ راه حلی وجود ندارد که این نقص امنیتی را برطرف سازد.
طبق اظهارات سازندگان پروژه در گزارشی که هفته گذشته منتشر شد: «به همه توسعه‌دهندگان اکیداً توصیه می‌شود که این به روزرسانی را انجام دهند. این یک جایگزین drop-in است و ارتقا باید بدون اثرات منفی جانبی باشد.»
درحالی که هیچ مدرکی مبنی بر exploit از این آسیب‌پذیری در حملات کنونی وجود ندارد، نقص امنیتی پیشین در این نرم‌افزار به شناسه CVE-2017-5638 و با امتیاز ۱۰ در مقیاس CVSS، توسط نفوذگران جهت رخنه در آژانس گزارش‌دهی اعتبار مصرف‌کننده Equifax در سال ۲۰۱۷ مورد استفاده قرار گرفت.
