Vulnérabilité d’exécution de code à distance dans Apache Struts

Apache Struts est un framework open-source développé en Java, conçu pour faciliter le développement d’applications web basées sur le modèle MVC (Modèle-Vue-Contrôleur).

Libellé sous le CVE-2023-50164, cette vulnérabilité permet à un attaquant de manipuler les paramètres de téléchargement de fichiers pour permettre la traversée des chemins et dans certaines circonstances cela peut conduire au téléchargement d’un fichier malveillant qui peut être utilisé pour effectuer l’exécution de code à distance.

Cette vulnérabilité est d’une sévérité Elevé

RISQUES DE SÉCURITÉ

• Atteinte à l’intégrité des données
• Atteinte à la disponibilité des données
• Atteinte à la confidentialité des données

SYSTÈMES AFFECTÉS

• Apache Struts versions 2.x antérieures à 2.5.33
• Apache Struts versions 6.x antérieures à 6.3.0.2

MESURES À PRENDRE

• Mettre à jour Apache Struts vers la version 2.5.33, 6.3.0.2 ou ultérieure

Source: bjCSIRT