Apache · Struts
CVE-2017-9805
Apache Struts Deserialization of Untrusted Data Vulnerability
Τι είναι
The REST Plugin in Apache Struts 2.1.1 through 2.3.x before 2.3.34 and 2.5.x before 2.5.13 uses an XStreamHandler with an instance of XStream for deserialization without any type filtering, which can lead to Remote Code Execution when deserializing XML payloads.
CISA: Apache Struts REST Plugin uses an XStreamHandler with an instance of XStream for deserialization without any type filtering, which can lead to remote code execution when deserializing XML payloads.
Τι να κάνετε
Apply updates per vendor instructions.
Προθεσμία για τις ομοσπονδιακές υπηρεσίες των ΗΠΑ: 3 Μαΐου 2022
- Προστέθηκε στη λίστα της CISA
- 3 Νοεμβρίου 2021
- Δημοσιεύθηκε
- 15 Σεπτεμβρίου 2017
- Σοβαρότητα
- Υψηλή 8,1 CVSS 3.1
- Πιθανότητα επιθέσεων τις επόμενες 30 ημέρες (EPSS)
- 99,4% στο κορυφαίο 0,1% όλων των γνωστών ευπαθειών
- Τύπος αδυναμίας
- CWE-502
- Περισσότερες λεπτομέρειες
- NVD · CVE.org · CISA
Όλες οι πηγές (12)
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170907-struts2
- http://www.oracle.com/technetwork/security-advisory/alert-cve-2017-9805-3889403.html
- https://struts.apache.org/docs/s2-052.html
- http://www.securitytracker.com/id/1039263
- http://www.securityfocus.com/bid/100609
- https://bugzilla.redhat.com/show_bug.cgi?id=1488482
- https://blogs.apache.org/foundation/entry/apache-struts-statement-on-equifax
- https://www.exploit-db.com/exploits/42627/
- https://lgtm.com/blog/apache_struts_CVE-2017-9805
- https://cwiki.apache.org/confluence/display/WW/S2-052
- https://security.netapp.com/advisory/ntap-20170907-0001/
- https://www.kb.cert.org/vuls/id/112992
Περισσότερα κενά ασφαλείας της Apache που αξιοποιούνται
| Προστέθηκε | Ευπάθεια | Προϊόν | Σοβαρότητα | Πιθανότητα επίθεσης |
|---|---|---|---|---|
| 8 Οκτ 2026 | Command Injection | Struts | Υψηλή 8,1 | 97% |
| 25 Μαρ 2022 | Improper Input Validation | Struts | Κρίσιμη 9,8 | >99,9% |
| 3 Νοε 2021 | Remote Code Execution | Struts | Κρίσιμη 9,8 | >99,9% |
| 3 Νοε 2021 | Remote Code Execution | Struts | Υψηλή 8,1 | >99,9% |
| 3 Νοε 2021 | Remote Code Execution | Struts | Κρίσιμη 9,8 | 96% |
| 4 Αυγ 2026 | Missing Encryption of Sensitive Data | Tomcat | Υψηλή 7,5 | 99% |
| 16 Απρ 2026 | Improper Input Validation | ActiveMQ | Υψηλή 8,8 | 98% |
| 1 Μαΐ 2025 | Improper Escaping of Output | HTTP Server | Κρίσιμη 9,1 | >99,9% |
Πηγές: Known Exploited Vulnerabilities (CISA, δημόσιος τομέας), CVE records (cve.org) και EPSS (FIRST). Η πιθανότητα επίθεσης είναι η εκτίμηση EPSS ότι κάποιος θα προσπαθήσει να εκμεταλλευτεί το κενό τις επόμενες 30 ημέρες.