Критическая уязвимость ядра затрагивает все версии Apache Struts 2

Критическая уязвимость ядра затрагивает все версии Apache Struts 2

Критическая уязвимость ядра затрагивает все версии Apache Struts 2

Организация Apache Software Foundation устранила критическую уязвимость, которая затрагивает все версии Apache Struts 2. Первыми баг обнаружили исследователи Semmle, он вызван неполной проверкой ненадежных пользовательских данных в базовой структуре Struts.

Поскольку недостаток безопасности, получивший идентификатор CVE-2018-11776, содержится в ядре Struts, у злоумышленников есть несколько векторов для атаки.

Если для параметра alwaysSelectFullNamespace в конфигурации Struts установлено значение true, то, вероятнее всего, сборка уязвима для таких атак.

Параметр принимает такое значение автоматически при использовании плагина Struts Convention.

Уязвимость обнаружил член команды безопасности Semmle Ман Юэ Мо.

«Эта уязвимость связана с языком Struts OGNL, с которым очень хорошо знакомы киберпреступники. Они уже использовали его в прошлом»,— отмечает Мо.

Поскольку брешь затрагивает все версии Apache Struts 2, компания рекомендуется немедленно обновить свои сборки. Использующие Struts 2.3 должны обновиться до 2.3.35, а те, кто пользуется Struts 2.5, — до версии 2.5.17.

После январского апдейта Windows 11 компьютеры перестают загружаться

Microsoft разбирается с очередным неприятным сюрпризом после обновлений Windows, уже где-то пятым по счёту. Как сообщают пользователи, после установки январских патчей для Windows 11 некоторые компьютеры просто перестают загружаться и уходят в чёрный экран с ошибкой UNMOUNTABLE_BOOT_VOLUME.

Проблема проявляется после установки накопительного обновления KB5074109, выпущенного в рамках январского Patch Tuesday.

Под удар попали устройства с Windows 11 версии 25H2, а также все редакции Windows 11 24H2. По данным Microsoft, система не может загрузиться и останавливается на этапе старта, показывая чёрный экран с сообщением о критической ошибке и предложением перезагрузить устройство (что, впрочем, ситуацию не спасает).

В компании уточняют, что речь идёт о «ограниченном числе обращений», но для пострадавших пользователей это слабое утешение: система не загружается вовсе и требует ручного восстановления. При этом, как отмечает Microsoft, проблема затрагивает только физические устройства — о сбоях на виртуальных машинах пока не сообщалось.

На проблему обратили внимание и пользователи форума AskWoody. Сейчас Microsoft просит администраторов и обычных юзеров отправлять отчёты через приложение Feedback Hub и подчёркивает, что проверяет, связано ли поведение системы именно с январским обновлением.

«Мы изучаем эту проблему и стараемся установить, вызвана ли она обновлением Windows», — заявили в Microsoft, пообещав обновить документацию по мере прояснения ситуации.

На фоне этой истории компания уже успела выпустить внеплановое обновление (OOB) по другой проблеме — зависанию Microsoft Outlook при работе с PST-файлами, хранящимися в облачных сервисах вроде OneDrive или Dropbox. Этот баг в основном затрагивал корпоративных пользователей.

Напомним, ранее сообщалось и о проблемах в работе Блокнота и Ножниц после установки январских патчей.

RSS: Новости на портале Anti-Malware.ru