CVE-2020-17530criticalsob ataqueCWE-917

CVE-2020-17530: falha crítica em Apache Struts

Publicada em 11 dez 2020 · Atualizada em 21 out 2025

Seguir esta CVE + Monitorar Apache Struts + Monitorar org.apache.struts:struts2-core

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

100Vexday Risk Score

Corrija agora. Ela está sob exploração confirmada pelo CISA e tem exploit funcional público.

ssvc Actcvss 9.8epss 96%

da publicação à armano mesmo dia

Publicada no NVD11 de dez.

1ª PoC9 de dez.

metasploit14 de set.

CISA KEV+327d

O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗

Não afetado

4 produtos — porque o código vulnerável não está presente no produto

Red Hat JBoss Enterprise Application Platform 6 · Red Hat JBoss Fuse 6 · Red Hat JBoss Fuse Service Works 6 · Red Hat JBoss Operations Network 3

Ação exigida pela CISAprazo federal: 2022-05-03

Apply updates per vendor instructions.

Versões

Afetadas

maven/org.apache.struts:struts2-core >= 2.0.0, < 2.5.26

Corrigidas em

maven/org.apache.struts:struts2-core 2.5.26

Pesquisado e redigido com IA a partir do advisory do fornecedor e de análises públicas, com as fontes acima. Confira sempre a versão corrigida no advisory oficial antes de agir.

Forced OGNL evaluation, when evaluated on raw user input in tag attributes, may lead to remote code execution. Affected software : Apache Struts 2.0.0 - Struts 2.5.25.

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Produtos afetados

Apache Software Foundation · Apache Struts

PoCs públicas encontradas — 24

⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

CVEs relacionadas — Apache Struts

No mesmo produto, das mais perigosas para as menos.

CVE-2017-5638CRITICALCVE-2017-5638EPSS 100.0%KEV CVE-2018-11776HIGHCVE-2018-11776EPSS 100.0%KEV CVE-2017-9805HIGHCVE-2017-9805EPSS 99.4%KEV CVE-2017-9791CRITICALCVE-2017-9791EPSS 98.9%KEV CVE-2017-12611—CVE-2017-12611EPSS 87.1%CVE-2021-31805—Forced OGNL evaluation, when evaluated on raw not validated user input in tag attributes, may lead to RCE.EPSS 85.4%

Referências

http://jvn.jp/en/jp/JVN43969166/index.html http://packetstormsecurity.com/files/160721/Apache-Struts-2-Forced-Multi-OGNL-Evaluation.html https://cwiki.apache.org/confluence/display/WW/S2-061 https://security.netapp.com/advisory/ntap-20210115-0005/https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2020-17530 https://www.oracle.com/security-alerts/cpuApr2021.html https://www.oracle.com/security-alerts/cpuapr2022.html https://www.oracle.com/security-alerts/cpujan2021.html https://www.oracle.com/security-alerts/cpujan2022.html https://www.oracle.com//security-alerts/cpujul2021.html https://www.oracle.com/security-alerts/cpuoct2021.html http://www.openwall.com/lists/oss-security/2022/04/12/6