Hoch kritisch

Mehrere Sicherheitslücken in Apache Struts 2.x

Die Entwickler von Apache Struts haben eine Aktualisierung zur Verfügung gestellt. Damit werden gefährliche Schwachstellen behoben.

Insgesamt drei Sicherheitslücken befinden sich in Apache Struts 2.x. Diese lassen sich für unerlaubte Systemzugriffe ausnutzen. Eine Sicherheitslücke hängt mit Überprüfung von Eingaben zusammen. Somit könnten Angreifer beliebigen Java-Code einspeisen und ausführen.

Der CookieInterceptor schränkt bestimmte statische Methoden bei der Behandlung von Cookie-Namen nicht ausreichend ein. Somit könnten sich beliebige Befehle ausführen lassen.

Gewisse nicht näher spezifizierte Eingaben überprüft der ParameterInterceptor nicht ausreichend, bevor die Software Dateien erzeugt. Das bietet Raum für so genannte Directory-Traversal-Angriffe.

Die Sicherheitslücken sind für Versionen vor 2.3.1.1 bestätigt. Administratoren sollten zeitnah auf die neueste Ausgabe aktualisieren: struts.apache.org (jdo)