CVE-2017-5638 Ejecución remota de código en el parser Jakarta Multipart de Apache Struts 2

Qué es CVE-2017-5638

El parser Jakarta Multipart de Apache Struts 2 2.3.x antes de 2.3.32 y 2.5.x antes de 2.5.10.1 tiene manejo incorrecto de excepciones y generación de mensajes de error durante intentos de carga de archivos. Esto permite a atacantes remotos ejecutar comandos arbitrarios mediante encabezados HTTP Content-Type, Content-Disposition o Content-Length manipulados, como se explotó en marzo de 2017.

Productos y versiones afectadas

• Apache Software Foundation Apache Struts

  • 2.3.x before 2.3.32
  • 2.5.x before 2.5.10.1

Qué hacer

1. Verificá si usás Apache Struts y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: ya se usa en ataques reales, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• s1kh/Vulnerability-Analysis-and-Mitigation ↗Vulnerability analysis, exploitation, and multi-layered defense hardening for Apache Struts 2 (CVE-2017-5638) & Windows Print Spooler / PrintNightmare (CVE-2021-34527) with ELK SIEM monitoring and Windows Event Log…PUBLICADO 18 OCT · 04:43

Calculadora CVSS

Abrir la calculadora completa →

Descripción original

The Jakarta Multipart parser in Apache Struts 2 2.3.x before 2.3.32 and 2.5.x before 2.5.10.1 has incorrect exception handling and error-message generation during file-upload attempts, which allows remote attackers to execute arbitrary commands via a crafted Content-Type, Content-Disposition, or Content-Length HTTP header, as exploited in the wild in March 2017 with a Content-Type header containing a #cmd= string.

Referencias

• nmap.org/nsedoc/scripts/http-vuln-cve2017-5638.htmlX_REFSOURCE_MISC
• www.arubanetworks.com/assets/alert/ARUBA-PSA-2017-002.txtX_REFSOURCE_CONFIRM
• arstechnica.com/security/2017/03/critical-vulnerability-under-massive-attack-imperils-hig…X_REFSOURCE_MISC
• exploit-db.com/exploits/41570EXPLOIT · X_REFSOURCE_EXPLOIT-DB
• security.netapp.com/advisory/ntap-20170310-0001/X_REFSOURCE_CONFIRM
• github.com/rapid7/metasploit-framework/issues/8064X_REFSOURCE_MISC
• struts.apache.org/docs/s2-046.htmlX_REFSOURCE_CONFIRM
• blog.talosintelligence.com/2017/03/apache-0-day-exploited.htmlX_REFSOURCE_MISC
• www.imperva.com/blog/2017/03/cve-2017-5638-new-remote-code-execution-rce-vulnerability-in…X_REFSOURCE_MISC
• h20566.www2.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbgn03733en_usX_REFSOURCE_CONFIRM
• www.kb.cert.org/vuls/id/834067THIRD-PARTY-ADVISORY · X_REFSOURCE_CERT-VN
• isc.sans.edu/diary/22169X_REFSOURCE_MISC
• struts.apache.org/docs/s2-045.htmlX_REFSOURCE_CONFIRM
• www.securitytracker.com/id/1037973VDB-ENTRY · X_REFSOURCE_SECTRACK
• www.eweek.com/security/apache-struts-vulnerability-under-attack.htmlX_REFSOURCE_MISC
• www.securityfocus.com/bid/96729VDB-ENTRY · X_REFSOURCE_BID
• twitter.com/theog150/status/841146956135124993X_REFSOURCE_MISC
• github.com/mazen160/struts-pwnX_REFSOURCE_MISC
• packetstormsecurity.com/files/141494/S2-45-poc.py.txtX_REFSOURCE_MISC
• www.symantec.com/security-center/network-protection-security-advisories/SA145X_REFSOURCE_CONFIRM

Historial de la alerta

1. 18 OCT · 04:43EXPLOIT PÚBLICO Se publicó el repositorio s1kh/Vulnerability-Analysis-and-Mitigation.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.