Apache Struts’da aniqlangan RCE zaifligi faol ravishda ekspluatatsiya qilinmoqda

Apache Struts ochiq kodli va keng tarqalgan Java asosidagi veb-ilovalar yaratish uchun ishlatiladigan mashhur ramka bo‘lib, unda aniqlangan yangi zaiflikni (CVE-2024-53677) jamoatchilik PoC (Proof of Concept) kodidan foydalanib, zararli fayllarni serverda bajarishga imkon beruvchi hujumlarda faol ishlatilmoqda.

Apache Struts Java veb-ilovalarini zamonaviy va qulay tarzda yaratishga imkon beruvchi bepul va ochiq kodli MVC (Model-View-Controller) ramkasi hisoblanadi.

Mazkur zaiflik fayllarni yuklash jarayonidagi mantiqiy kamchilik tufayli yuzaga keladi. Hujumchilar fayllarni yuklash parametrlarini manipulyatsiya qilish orqali, “path traversal” (fayl yo‘llarini chetlab o‘tish) zaifligidan foydalanishi va natijada serverga zararli fayllarni yuklab, ulardan masofadan kod bajarish (RCE) maqsadida foydalanishi mumkin.

Apache‘ning ma’lum qilishicha, “Hujumchi fayl yuklash parametrlarini manipulyatsiya qilish orqali ‘path traversal’ zaifligini ishga solishi mumkin va ba’zi sharoitlarda zararli fayl yuklash va uni masofadan bajarish imkoniyati mavjud.”

Mazkur zaiflik ilgari xabar qilingan S2-066 masalasiga o‘xshash bo‘lib, bu Apache Struts ning zaif fayl yuklash mexanizmini ishlatgan dasturlarga jiddiy xavf soladi.

SANS tadqiqot bo‘limi dekani, doktor Johannes B. Ullrich ning so‘zlariga ko‘ra, CVE-2024-53677 zaifligi CVE-2023-50164 bilan bog‘liq ko‘rinadi. Oldingi zaiflikka noto‘g‘ri yamoq qo‘llanganligi yangi muammoga olib kelgan bo‘lishi mumkin. Shuningdek, mazkur zaiflik bo‘yicha PoC kodlari e‘lon qilingan va ayni vaqtda zaif tizimlarni aniqlashga qaratilgan faol ekspluatatsiya urinishlari kuzatilmoqda.

Ta’sir doirasi va zaif versiyalar

Mazkur zaiflik quyidagi Apache Struts versiyalariga taalluqli:

  • Struts 2.0.0 – Struts 2.3.37 (End of Life, qo‘llab-quvvatlanmaydi);
  • Struts 2.5.0 – Struts 2.5.33;
  • Struts 6.0.0 – Struts 6.3.0.2.

Shuni ta’kidlash joizki, FileUploadInterceptor mexanizmini ishlatmaydigan ilovalar mazkur zaiflikdan ta’sirlanmaydi.

Zaiflikning tanqidiy darajada tasniflanishi uning masofadan kod bajarish imkoniyatini taqdim etishi bilan bog‘liq.

Zaiflikka qarshi quyidagi choralarni ko‘rish tavsiya etiladi:

  1. Apache Struts 6.4.0 yoki undan yangi versiyaga yangilang: Ushbu versiyada zaiflikni bartaraf etuvchi yangi fayl yuklash mexanizmi joriy qilingan.
  2. Action File Upload Interceptor‘ga o‘tish: Fayl yuklashning yangi mexanizmiga migratsiya qilish hujumlardan himoyalanish uchun zarurdir.

Diqqatga sazovor jihati shundaki, yangi mexanizm orqaga mos kelmaydi. Shu bois, dasturchilar o‘z amallarini qayta yozishlari talab etiladi.

Hozircha mazkur zaiflikka qarshi hech qanday muqobil chora mavjud emas. Eski fayl yuklash mexanizmiga tayanadigan ilovalar yangilanish amalga oshirilmaguncha zaif bo‘lib qoladi.

Apache Struts ishlatadigan tashkilotlar tizimlarini mazkur tanqidiy xavfsizlik zaifligidan himoya qilish uchun darhol choralar ko‘rishlari kerak. Yangilanish amalga oshirilmasa, ilovalar hujumchilarning noqonuniy kirish va boshqaruviga ochiq bo‘lib qoladi.

Skip to content