Apache · Struts
CVE-2020-17530
Apache Struts Remote Code Execution Vulnerability
Explorada em ataques
Crítica 9,8 Chance de ataque: 96%
O que é
Forced OGNL evaluation, when evaluated on raw user input in tag attributes, may lead to remote code execution. Affected software : Apache Struts 2.0.0 - Struts 2.5.25.
CISA: Forced Object-Graph Navigation Language (OGNL) evaluation in Apache Struts, when evaluated on raw user input in tag attributes, can lead to remote code execution.
O que fazer
Apply updates per vendor instructions.
Prazo para as agências federais dos EUA: 3 de maio de 2022
- Adicionada à lista da CISA
- 3 de novembro de 2021
- Publicada
- 11 de dezembro de 2020
- Gravidade
- Crítica 9,8 CVSS 3.1
- Chance de ataques nos próximos 30 dias (EPSS)
- 96% entre os 0,1% mais altos de todas as vulnerabilidades conhecidas
- Fraqueza
- CWE-917
- Mais detalhes
- NVD · CVE.org · CISA
Todas as referências (11)
- https://cwiki.apache.org/confluence/display/WW/S2-061
- http://jvn.jp/en/jp/JVN43969166/index.html
- https://www.oracle.com/security-alerts/cpujan2021.html
- http://packetstormsecurity.com/files/160721/Apache-Struts-2-Forced-Multi-OGNL-Evaluation.html
- https://security.netapp.com/advisory/ntap-20210115-0005/
- https://www.oracle.com/security-alerts/cpuApr2021.html
- https://www.oracle.com//security-alerts/cpujul2021.html
- https://www.oracle.com/security-alerts/cpuoct2021.html
- https://www.oracle.com/security-alerts/cpujan2022.html
- http://www.openwall.com/lists/oss-security/2022/04/12/6
- https://www.oracle.com/security-alerts/cpuapr2022.html
Mais falhas exploradas de Apache
| Adicionado | Vulnerabilidade | Produto | Gravidade | Chance de ataque |
|---|---|---|---|---|
| 8 de out. de 2026 | Command Injection | Struts | Alto 8,1 | 97% |
| 25 de mar. de 2022 | Improper Input Validation | Struts | Crítica 9,8 | >99,9% |
| 3 de nov. de 2021 | Remote Code Execution | Struts | Crítica 9,8 | >99,9% |
| 3 de nov. de 2021 | Deserialization of Untrusted Data | Struts | Alto 8,1 | 99,4% |
| 3 de nov. de 2021 | Remote Code Execution | Struts | Alto 8,1 | >99,9% |
| 4 de ago. de 2026 | Missing Encryption of Sensitive Data | Tomcat | Alto 7,5 | 99% |
| 16 de abr. de 2026 | Improper Input Validation | ActiveMQ | Alto 8,8 | 98% |
| 1 de mai. de 2025 | Improper Escaping of Output | HTTP Server | Crítica 9,1 | >99,9% |
Fontes: Known Exploited Vulnerabilities (CISA, domínio público), CVE records (cve.org) e EPSS (FIRST). A chance de ataque é a estimativa EPSS de que alguém tente explorar a falha nos próximos 30 dias.