CVE-2017-9791: fallo crítico en Apache Struts
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply updates per vendor instructions.
Apache Struts 2 permite que atacantes ejecuten código arbitrario en el servidor enviando valores de campo especialmente diseñados a través del complemento Struts 1. Esta es una vulnerabilidad crítica que puede dar a los atacantes control total sobre la aplicación web afectada.
Una falla de validación inadecuada de entrada (CWE-20) en el complemento Struts 1 permite ejecución remota de código cuando valores de campo maliciosos se pasan en mensajes raw al controlador ActionMessage. El ataque requiere acceso de red a la aplicación Struts afectada, pero sin autenticación necesaria, con impacto incluyendo compromiso completo del sistema.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.