CVE-2018-11776: fallo de gravedad alta en Apache Struts
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply updates per vendor instructions.
Apache Struts tiene una falla que permite a atacantes ejecutar código malicioso en servidores con versiones vulnerables. Esto ocurre cuando ciertas configuraciones de namespace se hacen incorrectamente, dejando que atacantes inyecten comandos a través de solicitudes web.
Vulnerabilidad de Ejecución Remota de Código en Apache Struts 2.3.0-2.3.34 y 2.5.0-2.5.16 cuando alwaysSelectFullNamespace está habilitado y el manejo de namespace resulta en resolución incompleta o con wildcard. El vector de ataque es a través de la red mediante solicitudes elaboradas a resultados sin namespace explícito o etiquetas url con valores de action ausentes; la explotación requiere configuraciones específicas de paquete/namespace.
El análisis completo de esta CVE está disponible en portugués →
En el mismo producto, de las más peligrosas a las menos.