CVE-2020-17530criticalbajo ataqueCWE-917

CVE-2020-17530: fallo crítico en Apache Struts

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache Struts+ Monitorear org.apache.struts:struts2-core

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 96%
de la publicación al armael mismo día
Publicada en NVD11 dic
1ª PoC9 dic
metasploit14 sept
CISA KEV+327d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
4 productos — porque el código vulnerable no está presente en el producto
Red Hat JBoss Enterprise Application Platform 6 · Red Hat JBoss Fuse 6 · Red Hat JBoss Fuse Service Works 6 · Red Hat JBoss Operations Network 3
Acción exigida por CISAplazo federal: 2022-05-03

Apply updates per vendor instructions.

En resumen

Apache Struts 2 permite que atacantes ejecuten código arbitrario en el servidor inyectando expresiones maliciosas en atributos de etiquetas. Esta falla ocurre porque la entrada del usuario se evalúa como código sin validación adecuada, otorgando a los atacantes control total sobre el sistema afectado.

Detalle técnico

Una vulnerabilidad de evaluación forzada de OGNL (Object-Graph Navigation Language) existe en Apache Struts 2.0.0 hasta 2.5.25, donde la entrada bruta del usuario en atributos de etiquetas se procesa como expresiones ejecutables. Un atacante no autenticado puede inyectar payloads maliciosos de OGNL a través de parámetros de solicitud web para lograr ejecución remota de código con privilegios del servidor; no se requieren autenticación ni precondiciones especiales.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Forced OGNL evaluation, when evaluated on raw user input in tag attributes, may lead to remote code execution. Affected software : Apache Struts 2.0.0 - Struts 2.5.25.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Apache Software Foundation · Apache Struts
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Apache Struts

En el mismo producto, de las más peligrosas a las menos.

CVE-2017-5638CRITICALCVE-2017-5638EPSS 100.0%KEVCVE-2018-11776HIGHCVE-2018-11776EPSS 100.0%KEVCVE-2017-9805HIGHCVE-2017-9805EPSS 99.4%KEVCVE-2017-9791CRITICALCVE-2017-9791EPSS 98.9%KEVCVE-2017-12611—CVE-2017-12611EPSS 87.1%CVE-2021-31805—Forced OGNL evaluation, when evaluated on raw not validated user input in tag attributes, may lead to RCE.EPSS 85.4%