Обнаружена критическая уязвимость в Apache Struts

Обнаружена критическая уязвимость в Apache Struts

Обнаружена критическая уязвимость в Apache Struts

Опубликовано обновление web-фреймворка Apache Struts 2.5.13, применяемого для создания web-приложений на языке Java с использованием парадигмы Model-View-Controller. В состав выпуска включено исправление критической уязвимости (CVE-2017-9805), позволяющей выполнить код на стороне сервера.

Атака может быть проведена через отправку специально оформленного HTTP-запроса. Уязвимость проявляется при использовании плагина REST с обработчиком XStream для десериализации XML-блоков (применяется по умолчанию).

Пользователям рекомендуется как можно скорее установить исправление, так как не исключено повторение весенней массированной атакина корпоративные сети, в которых применяются приложения на базе Apache Struts. По статистике около 65% компаний из списка Fortune 100 используют приложения на базе Struts и почти во всех подобных корпоративных приложениях используется плагин REST. В частности, системы на базе Apache Struts применяются в таких компаниях, как Lockheed Martin, the IRS, Citigroup, Vodafone, Virgin Atlantic, Reader’s Digest, Office Depot и SHOWTIME, пишет opennet.ru.

С учётом распространённости Apache Struts в корпоративной среде для создания публичных web-сервисов (например Struts используется во многих банковских службах и системах бронирования авиабилетов), ущерб от эксплуатации уязвимости может быть очень значительным. Например, руководитель службы безопасности одного из американских банков первого уровня считает, что атаки на Apache Struts представляют большую угрозу, чем уязвимость POODLE в SSL.

Проблема присутствует в коде десериализации внешних данных, затрагивает все версии Apache Struts, выпущенные с 2008 года. Уязвимость пока остаётся неисправленной в дистрибутивах Debian, EPEL-7, Ubuntu (в SUSE, Fedora и RHEL Struts 2 не поставляется). Если нет возможности обновить версию Struts в качестве обходного пути блокирования уязвимости предлагается удалить плагин Struts REST. В случае если web-приложение выполняется в контейнере Apache Tomcat, запускаемом с правами root, в результате атаки сразу может быть получен root-доступ к системе. 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

DDoS-атаки на финсектор утроились и вывели отрасль в топ-3 целей

Интенсивность DDoS-атак на компании финансового сектора в третьем квартале 2025 года увеличилась втрое по сравнению с аналогичным периодом прошлого года. По итогам квартала отрасль вошла в тройку наиболее атакуемых, наряду с ИТ и телекомом.

Об этом говорится в отчёте RED Security. Согласно результатам исследования, финансовый сектор впервые с начала года поднялся в первую тройку самых атакуемых отраслей, вытеснив оттуда промышленность и цифровые развлекательные сервисы.

По оценкам RED Security, чаще всего киберпреступники нацеливаются на банки. Самая мощная атака достигала пикового значения в 967 Мбит/с, а самая продолжительная длилась 64 часа без перерыва. При отсутствии мер защиты подобные атаки способны полностью парализовать работу организаций.

Более 80% всех зафиксированных инцидентов пришлись на Москву и Московскую область. На втором месте оказался Северо-Западный федеральный округ, на третьем — Поволжский.

«Мы наблюдаем, что злоумышленники всё чаще используют DDoS не только для нанесения прямого финансового ущерба, но и как способ отвлечь внимание специалистов по информационной безопасности во время более сложных атак, направленных на компрометацию инфраструктуры», — отметил руководитель направления управляемых сервисов кибербезопасности RED Security Михаил Горшилин.

По данным компании Servicepipe, специализирующейся на защите от DDoS-атак, на финансовый сектор в первые девять месяцев 2025 года пришлось более трети всех подобных инцидентов. Общее количество атак за год выросло в два раза.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru