SR10-126 Apache - Struts innehåller allvarlig sårbarhet

Struts är ett vanligt förekommande ramverk för webbapplikationer skrivna i Java. Produkten innehåller en allvarlig sårbarhet som kan utnyttjas till att köra godtycklig kod på det sårbara systemet.

Publicerad: 2010-07-14 14:21

Problembeskrivning

CVE-referens: CVE-20101-1870

Meder Kydyraliev har upptäck en sårbarhet i Struts. Orskaken till sårbarheten i brister i kontrollen indata som släpper igenom unicode-koden ("\u0023") för '#'. Sårbarheten kan utnyttjas genom att skicka specialkonstruerade URL:er till webbapplikationen. 

 

Tillfällig lösning (eftersom 2.2 ännu inte är släppt):

* Installera testbygget för 2.2 <http://people.apache.org/builds/struts/2.2.0/> som innehåller uppdateringen.

* Använd en WAF (Web Application Firewall), exempelvis mod_security, för att filtrera bort HTTP-anrop som innehåller "\u0023" eller "#".

Påverkade versioner

  • Versioner innan 2.2.0

Mer information och programrättningar