6 de enero de 2012

NUEVAS VULNERABILIDADES REMOTAS EN ‘Apache Struts ‘

Anunciadas 4 vulnerabilidades en Apache Struts (versiones 2.1.0 a 2.3.1), que podrían permitir a un atacante remoto ejecutar código Java o sobreescribir archivos arbitrarios en el sistema objetivo. 
Apache Struts es una herramienta gratuita de código abierto para el desarrollo de aplicaciones Web Java EE bajo el patrón de arquitectura de software Modelo-Vista-Controlador (MVC).
Detalle de vulnerabilidades
  1. La primera vulnerabilidad remota afecta a versiones menores a 2.2.1.1 y está relacionado con "ExceptionDelegator".
  2. La segunda vulnerabilidad tiene su origen en la lista blanca de caracteres para nombres de parámetros no se aplica a "CookieInterceptor". 
  3. La tercera vulnerabilidad se debe a entradas no limpiadas adecuadamente por ParameterInterceptor antes de emplearse para crear archivos 
  4. Y la ultima se informa que aunque no se trata de una vulnerabilidad las aplicaciones que se ejecutan en modo desarrollador y usan "DebuggingInterceptor" están expuestas a una ejecución remota de comandos.
Recomendaciones
  • Es recomendable actualizar a Struts 2.3.1.1 y aplicar el filtro "acceptedParamNames" más fuerte a "ParameterInterceptor" y "CookieInterceptor":acceptedParamNames = "[a-zA-Z0-9\.][()_']+";
Más información:
Fuente.- Hispasec