800+ IT
News
als RSS Feed abonnieren📚 Apache Struts bis 2.3.24.1 Double OGNL Evaluation erweiterte Rechte
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: scip.ch
Allgemein
scipID: 81371
Betroffen: Apache Struts bis 2.3.24.1
Veröffentlicht: 15.03.2016 (Romain Gaucher)
Risiko: kritisch
Erstellt: 16.03.2016
Eintrag: 71.3% komplett
Beschreibung
Eine Schwachstelle wurde in Apache Struts bis 2.3.24.1 entdeckt. Sie wurde als kritisch eingestuft. Es geht hierbei um eine unbekannte Funktion der Komponente Double OGNL Evaluation. Durch Manipulation mit einer unbekannten Eingabe kann eine erweiterte Rechte-Schwachstelle ausgenutzt werden. Die Auswirkungen sind bekannt für Vertraulichkeit, Integrität und Verfügbarkeit.
Die Schwachstelle wurde am 15.03.2016 durch Romain Gaucher als S2-029 in Form eines bestätigten Security Bulletins (Website) herausgegeben. Auf struts.apache.org kann das Advisory eingesehen werden. Die Verwundbarkeit wird mit der eindeutigen Identifikation CVE-2016-0785 gehandelt. Umgesetzt werden kann der Angriff über das Netzwerk. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden.
Ein Aktualisieren auf die Version 2.3.25 vermag dieses Problem zu lösen. Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1035271) dokumentiert. Von weiterem Interesse können die folgenden Einträge sein: 81370 und 81372.CVSS
Base Score: 6.0 (CVSS2#AV:N/AC:M/Au:S/C:P/I:P/A:P) [?]
Temp Score: 5.2 (CVSS2#E:ND/RL:OF/RC:C) [?]
CPE
Exploiting
Klasse: Erweiterte Rechte
Lokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $10k-$25k (0-day) / $5k-$10k (Heute)
Gegenmassnahmen
Empfehlung: Upgrade
Status: Offizieller Fix
0-Day Time: 0 Tage seit gefunden
Upgrade: Struts 2.3.25
Timeline
15.03.2016 | Advisory veröffentlicht
15.03.2016 | SecurityTracker Eintrag erstellt
16.03.2016 | VulDB Eintrag erstellt
16.03.2016 | VulDB Eintrag aktualisiert
Quellen
Advisory: S2-029
Person: Romain Gaucher
Status: Bestätigt
CVE: CVE-2016-0785 (mitre.org) (nvd.nist.org) (cvedetails.com)
SecurityTracker: 1035271 – Apache Struts Double OGNL Evaluation Lets Remote Users Execute Arbitrary Code on the Target System
...