CVE-2017-5638
Təsvir
Apache Struts 2-nin 2.3.32 versiyasından əvvəlki 2.3.x və 2.5.10.1 versiyasından əvvəlki 2.5.x versiyalarındakı Jakarta Multipart parser fayl yükləmə cəhdləri zamanı yanlış istisna idarəetməsinə və xəta mesajlarının yaradılmasına malikdir. Bu, uzaqdakı hücumçulara xüsusi hazırlanmış Content-Type, Content-Disposition və ya Content-Length HTTP başlıqları vasitəsilə ixtiyari əmrlərin icrasına imkan verir; bu boşluq 2017-ci ilin mart ayında tərkibində #cmd= sətiri olan Content-Type başlığı ilə real hücumlarda istifadə edilmişdir.
Necə düzəltmək olar
İstehsalçının dərc etdiyi yeniləmələri tətbiq edin.
CISA son tarixi: 3 may 2022- apache struts2.3.32, 2.5.10.1 və ya daha yeni versiya
- arubanetworks clearpass_policy_manager6.6.5 və ya daha yeni versiya
- org.apache.struts:struts2-core2.3.32, 2.5.10.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache struts | 2.2.3 ≤ v < 2.3.32, 2.5.0 ≤ v < 2.5.10.1 | 2.3.32, 2.5.10.1 |
| ibm storwize_v3500_firmware | 7.7.1.6, 7.8.1.0 | — |
| ibm storwize_v5000_firmware | 7.7.1.6, 7.8.1.0 | — |
| ibm storwize_v7000_firmware | 7.7.1.6, 7.8.1.0 | — |
| lenovo storage_v5030_firmware | 7.7.1.6, 7.8.1.0 | — |
| hp server_automation | 9.1.0, 10.0.0, 10.1.0, 10.2.0, 10.5.0 | — |
| oracle weblogic_server | 10.3.6.0.0, 12.1.3.0.0, 12.2.1.1.0, 12.2.1.2.0 | — |
| arubanetworks clearpass_policy_manager | v < 6.6.5 | 6.6.5 |
| netapp oncommand_balance | Aralıq göstərilməyib | — |
| org.apache.struts:struts2-coreMaven | 2.3.0 ≤ v < 2.3.32, 2.5.0 ≤ v < 2.5.10.1 | 2.3.32, 2.5.10.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.