Apache · Struts
CVE-2018-11776
Apache Struts Remote Code Execution Vulnerability
Что это
Apache Struts versions 2.3 to 2.3.34 and 2.5 to 2.5.16 suffer from possible Remote Code Execution when alwaysSelectFullNamespace is true (either by user or a plugin like Convention Plugin) and then: results are used with no namespace and in same time, its upper package have no or wildcard namespace and similar to results, same possibility when using url tag which doesn't have value and action set and in same time, its upper package have no or wildcard namespace.
CISA: Apache Struts contains a vulnerability that allows for remote code execution under two circumstances. One, where the alwaysSelectFullNamespace option is true and the value isn't set for a result defined in underlying configurations and in same time, its upper package configuration have no or wildcard namespace. Or, using URL tag which doesn't have value and action set and in same time, its upper package configuration have no or wildcard namespace.
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 3 мая 2022 г.
- Добавлена в список CISA
- 3 ноября 2021 г.
- Опубликована
- 22 августа 2018 г.
- Серьёзность
- Высокий 8,1 CVSS 3.1
- Вероятность атак в ближайшие 30 дней (EPSS)
- >99,9% в верхних 0,1% всех известных уязвимостей
- Тип слабости
- CWE-20
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (19)
- http://www.securitytracker.com/id/1041888
- https://www.exploit-db.com/exploits/45367/
- https://www.exploit-db.com/exploits/45262/
- http://www.securityfocus.com/bid/105125
- http://www.securitytracker.com/id/1041547
- https://www.exploit-db.com/exploits/45260/
- https://lists.apache.org/thread.html/r6d03e45b81eab03580cf7f8bb51cb3e9a1b10a2cc0c6a2d3cc92ed0c%40%3Cannounce.…
- http://www.oracle.com/technetwork/security-advisory/cpuoct2018-4428296.html
- https://www.oracle.com/security-alerts/cpujul2020.html
- https://www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html
- https://security.netapp.com/advisory/ntap-20181018-0002/
- https://cwiki.apache.org/confluence/display/WW/S2-057
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2018-0012
- http://www.oracle.com/technetwork/security-advisory/alert-cve-2018-11776-5072787.html
- https://lgtm.com/blog/apache_struts_CVE-2018-11776
- https://security.netapp.com/advisory/ntap-20180822-0001/
- http://www.arubanetworks.com/assets/alert/ARUBA-PSA-2018-005.txt
- https://github.com/hook-s3c/CVE-2018-11776-Python-PoC
- http://packetstormsecurity.com/files/172830/Apache-Struts-Remote-Code-Execution.html
Другие эксплуатируемые уязвимости Apache
| Добавлено | Уязвимость | Продукт | Серьёзность | Вероятность атаки |
|---|---|---|---|---|
| 8 окт. 2026 г. | Command Injection | Struts | Высокий 8,1 | 97% |
| 25 мар. 2022 г. | Improper Input Validation | Struts | Критическая 9,8 | >99,9% |
| 3 нояб. 2021 г. | Remote Code Execution | Struts | Критическая 9,8 | >99,9% |
| 3 нояб. 2021 г. | Deserialization of Untrusted Data | Struts | Высокий 8,1 | 99,4% |
| 3 нояб. 2021 г. | Remote Code Execution | Struts | Критическая 9,8 | 96% |
| 4 авг. 2026 г. | Missing Encryption of Sensitive Data | Tomcat | Высокий 7,5 | 99% |
| 16 апр. 2026 г. | Improper Input Validation | ActiveMQ | Высокий 8,8 | 98% |
| 1 мая 2025 г. | Improper Escaping of Output | HTTP Server | Критическая 9,1 | >99,9% |
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.