Apache Struts

Apache Struts lukker alvorligt sikkerhedshul

Dansk

Udviklerne af Apache Struts har lukket tre sikkerhedshuller. Et af dem er kritisk, idet angribere kan udnytte REST-pluginnet til at afvikle skadelig programkode.

Flere angrebsprogrammer, der udnytter sårbarheden, er lagt ud på nettet.

Sårbarheden ligger i deserialization i Java.

En række store virksomheder anvender Struts og er dermed mulige angrebsmål.

Fejlene er rettet i Apache Struts 2.5.13.

Anbefaling

Opdater til Apache Struts 2.5.13.

Cisco lukker hul i Struts i flere produkter

Dansk

Sårbarheden har været kendt siden den 6. marts. Den findes i Jakarta Multipart-parseren, der indgår i Apache Struts 2. Dermed er en række produkter, der anvender Struts, ramt.

Cisco har fundet frem til 21 produkter, der anvender Struts og derfor er sårbare.

Firmaet har udsendt rettelser til de fleste.

Cisco har endvidere udsendt en række andre sikkerhedsrettelser. De fjerner primært sårbarheder, der kan sætte produkter ud af drift.

Anbefaling

Gennemgå listen over sårbare produkter og opdater dem, som I anvender.

Oracle lukker 299 sikkerhedshuller

Dansk

MySQL tegner sig for 13 procent af rettelserne i april kvartals sikkerhedsrettelser fra Oracle. 11 af de 39 sårbarheder i MySQL kan udnyttes over nettet, uden at angriberen har en konto på systemet.

37 procent af rettelserne er til Oracles brancheløsninger og til Fusion Middleware. De fleste af dem kan udnyttes over netværk uden en brugerkonto.

25 af rettelserne lukker huller relateret til en kendt sårbarhed i Apache Struts.

Der er otte rettelser til Java SE, hvoraf de syv kan udnyttes over netværk uden en brugerkonto. Fejlene er rettet i Java 8 Update 131.

Angreb udnytter sårbarhed i Apache Struts

Dansk

Sikkerhedsorganisationen Talos fra Cisco har set en lang række forsøg på at udnytte sårbarheden. De første var blot forsøg på at undersøge, om et system var sårbart ved at sende en uskadelig kommando.

Men senere angrebsforsøg udnytter sårbarheden til at downloade skadelig software til det sårbare system.

Sårbarheden ligger i Apache Struts-systemer, der bruger Jakarta Multipart parser til at uploade filer med.

Fejlen er rettet i Struts 2.3.32 og Struts 2.5.10.1.

Anbefaling

Opdater til Struts 2.3.32 eller Struts 2.5.10.1.

Abonnér på RSS - Apache Struts