Apache · Struts
CVE-2013-2251
Apache Struts Improper Input Validation Vulnerability
مورد سوءاستفاده در حملات
بحرانی ۹٫۸ احتمال حمله: >۹۹٫۹%
چیست
Apache Struts 2.0.0 through 2.3.15 allows remote attackers to execute arbitrary OGNL expressions via a parameter with a crafted (1) action:, (2) redirect:, or (3) redirectAction: prefix.
CISA: Apache Struts allows remote attackers to execute arbitrary Object-Graph Navigation Language (OGNL) expressions.
چه باید کرد
Apply updates per vendor instructions.
مهلت برای نهادهای فدرال آمریکا: ۱۵ آوریل ۲۰۲۲
- افزوده‌شده به فهرست CISA
- ۲۵ مارس ۲۰۲۲
- منتشرشده
- ۱۸ ژوئیهٔ ۲۰۱۳
- شدت
- بحرانی ۹٫۸ CVSS 3.1
- احتمال حمله در ۳۰ روز آینده (EPSS)
- >۹۹٫۹% در ۰٫۱% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
- نوع ضعف
- CWE-20
- جزئیات بیشتر
- NVD · CVE.org · CISA
همهٔ منابع (16)
- http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20131023-struts2
- http://www.fujitsu.com/global/support/software/security/products-f/interstage-bpm-analytics-201301e.html
- http://www.oracle.com/technetwork/topics/security/cpujul2015-2367936.html
- https://exchange.xforce.ibmcloud.com/vulnerabilities/90392
- http://seclists.org/fulldisclosure/2013/Oct/96
- http://cxsecurity.com/issue/WLB-2014010087
- http://struts.apache.org/release/2.3.x/docs/s2-016.html
- http://archiva.apache.org/security.html
- http://osvdb.org/98445
- http://www.securitytracker.com/id/1032916
- http://www.securityfocus.com/bid/61189
- http://www.securitytracker.com/id/1029184
- http://www.securityfocus.com/bid/64758
- http://www.oracle.com/technetwork/topics/security/cpujan2014-1972949.html
- http://seclists.org/oss-sec/2014/q1/89
- http://packetstormsecurity.com/files/159629/Apache-Struts-2-Remote-Code-Execution.html
آسیب‌پذیری‌های دیگر Apache که مورد سوءاستفاده‌اند
| افزوده‌شده | آسیب‌پذیری | محصول | شدت | احتمال حمله |
|---|---|---|---|---|
| ۸ اکتبر ۲۰۲۶ | Command Injection | Struts | بالا ۸٫۱ | ۹۷% |
| ۳ نوامبر ۲۰۲۱ | Remote Code Execution | Struts | بحرانی ۹٫۸ | >۹۹٫۹% |
| ۳ نوامبر ۲۰۲۱ | Deserialization of Untrusted Data | Struts | بالا ۸٫۱ | ۹۹٫۴% |
| ۳ نوامبر ۲۰۲۱ | Remote Code Execution | Struts | بالا ۸٫۱ | >۹۹٫۹% |
| ۳ نوامبر ۲۰۲۱ | Remote Code Execution | Struts | بحرانی ۹٫۸ | ۹۶% |
| ۴ اوت ۲۰۲۶ | Missing Encryption of Sensitive Data | Tomcat | بالا ۷٫۵ | ۹۹% |
| ۱۶ آوریل ۲۰۲۶ | Improper Input Validation | ActiveMQ | بالا ۸٫۸ | ۹۸% |
| ۱ مه ۲۰۲۵ | Improper Escaping of Output | HTTP Server | بحرانی ۹٫۱ | >۹۹٫۹% |
منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.