CVE-2013-2251
Apache Struts Improper Input Validation Vulnerability
Beschreibung
CVE-2013-2251 ist eine kritische Sicherheits-Schwachstelle in Apache Struts (Versionen >= 2.0.0, <= 2.3.15). Die Schwachstelle ermöglicht entfernten Angreifern die Ausführung beliebiger Object-Graph Navigation Language (OGNL)-Ausdrücke in Apache Struts. CISA hat CVE-2013-2251 in den Known Exploited Vulnerabilities-Katalog aufgenommen und damit die aktive Ausnutzung bestätigt. Mit einem EPSS-Score von 94,33 % (100,0. Perzentile) besteht eine sehr hohe Ausnutzungswahrscheinlichkeit.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apache | archiva | >= 1.3, < 1.3.8; 1.2; 1.2.2 |
| apache | struts | >= 2.0.0, <= 2.3.15 |
| fujitsu | interstage business process manager analytics | 12.0; 12.1 |
| oracle | siebel apps - e-billing | 6.1; 6.1.1; 6.2 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://archiva.apache.org/security.html(Product)
- http://cxsecurity.com/issue/WLB-2014010087(Exploit, Third Party Advisory)
- http://osvdb.org/98445(Broken Link)
- http://packetstormsecurity.com/files/159629/Apache-Struts-2-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://seclists.org/fulldisclosure/2013/Oct/96(Exploit, Mailing List, Third Party Advisory)
- http://seclists.org/oss-sec/2014/q1/89(Mailing List, Third Party Advisory)
- http://struts.apache.org/release/2.3.x/docs/s2-016.html(Patch)
- http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20131023-struts2(Third Party Advisory)
- http://www.fujitsu.com/global/support/software/security/products-f/interstage-bpm-analytics-201301e.html(Broken Link, Third Party Advisory)
- http://www.oracle.com/technetwork/topics/security/cpujan2014-1972949.html(Patch, Third Party Advisory)
- http://www.oracle.com/technetwork/topics/security/cpujul2015-2367936.html(Patch, Third Party Advisory)
- http://www.securityfocus.com/bid/61189(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securityfocus.com/bid/64758(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1029184(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1032916(Broken Link, Third Party Advisory, VDB Entry)
- https://exchange.xforce.ibmcloud.com/vulnerabilities/90392(Third Party Advisory, VDB Entry)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2013-2251(US Government Resource)
Schwachstellentyp
CWE-74: Unsachgemäße Neutralisierung von Spezialelementen in der Ausgabe einer nachgelagerten Komponente ('Injection')
Unsachgemäße Neutralisierung von Spezialelementen in der Ausgabe einer nachgelagerten Komponente ('Injection') beschreibt eine Schwachstelle, bei der Software Spezialelemente in der Ausgabe, die von einer nachgelagerten Komponente verwendet wird, nicht ordnungsgemäß neutralisiert und so Injection-Angriffe ermöglicht. Bei CVE-2013-2251 ist Apache Struts betroffen: Die Schwachstelle ermöglicht entfernten Angreifern die Ausführung beliebiger Object-Graph Navigation Language (OGNL)-Ausdrücke in Apache Struts.
Weitere Informationen: CWE-74 — Improper Neutralization of Special Elements in Output Used by a Downstream Component ('Injection')
Auswirkungsanalyse
CVE-2013-2251 stellt eine kritische Bedrohung für Organisationen dar, die Apache Struts einsetzen, mit einem CVSS-Score von 9.8, der maximale Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit widerspiegelt. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit, Integrität und Verfügbarkeit betroffener Systeme vollständig kompromittieren. Angreifer können auf sensible Daten zugreifen, Systemkonfigurationen oder Daten verändern und die Dienstverfügbarkeit stören. Der netzwerkbasierte Angriffsvektor ohne erforderliche Authentifizierung macht diese Schwachstelle besonders zugänglich für opportunistische Angreifer und automatisierte Scan-Tools.
Exploit-Reifegrad
CVE-2013-2251 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was die Ausnutzung in realen Angriffen bestätigt. Der EPSS-Score von 94,33 % (100,0. Perzentile) zählt sie zu den am wahrscheinlichsten ausgenutzten Schwachstellen, was eine weit verbreitete und aktive Ausnutzungsaktivität widerspiegelt. Öffentlicher Exploit-Code ist verfügbar, was die Einstiegshürde für Angreifer senkt und die Dringlichkeit der Behebung erhöht. Obwohl diese Schwachstelle über 13 Jahre alt ist, bleibt sie aufgrund der Persistenz ungepatchter Legacy-Systeme in Produktionsumgebungen relevant.
Behebung
- Pflichtmaßnahme laut CISA KEV: Wenden Sie umgehend Herstellerpatches an. Aktualisieren Sie Apache Struts von den betroffenen Versionen (>= 2.0.0, <= 2.3.15) auf die neueste gepatchte Version.
- Falls ein sofortiges Patching nicht möglich ist, beschränken Sie den Netzwerkzugriff auf den betroffenen Struts-Dienst mittels Firewall-Regeln, ACLs oder Netzwerksegmentierung, um die Exposition auf vertrauenswürdige Netzwerke zu begrenzen.
- Überwachen Sie betroffene Systeme auf Anzeichen einer Kompromittierung, indem Sie Sicherheitsprotokolle auf anomale Aktivitäten, unautorisierte Zugriffsversuche und unerwartete Systemänderungen im Zusammenhang mit Struts überprüfen.
- Bewerten Sie, ob betroffene Apache-Struts-Installationen noch vom Hersteller unterstützt werden. End-of-Life-Systeme sollten für die Migration auf unterstützte Alternativen priorisiert werden.
- Überprüfen und aktualisieren Sie den Schwachstellenmanagement-Prozess Ihrer Organisation, um sicherzustellen, dass CISA-KEV-Einträge mit einer Behebungsfrist bis zum 15.04.2022 innerhalb des vorgegebenen Zeitrahmens bearbeitet werden.
Technische Details
CVE-2013-2251 ist unter CWE-74 (Unsachgemäße Neutralisierung von Spezialelementen in der Ausgabe einer nachgelagerten Komponente ('Injection')) klassifiziert und betrifft Apache Struts in den Versionen >= 2.0.0, <= 2.3.15. Die Schwachstelle ermöglicht entfernten Angreifern die Ausführung beliebiger Object-Graph Navigation Language (OGNL)-Ausdrücke in Apache Struts. Die Schwachstelle ist über das Netzwerk aus der Ferne ausnutzbar, mit geringer Angriffskomplexität, ohne vorherige Authentifizierung. Der CVSS-3.1-Basiswert von 9.8 (CRITICAL) spiegelt hohe Auswirkungen auf die Vertraulichkeit, hohe Auswirkungen auf die Integrität und hohe Auswirkungen auf die Verfügbarkeit wider.
Häufig gestellte Fragen
Wird CVE-2013-2251 aktiv ausgenutzt?
Ja. CVE-2013-2251 ist im CISA Known Exploited Vulnerabilities-Katalog gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt. Der EPSS-Score von 94,33 % (100,0. Perzentile) weist auf eine sehr hohe Ausnutzungswahrscheinlichkeit hin. Öffentlicher Exploit-Code ist verfügbar, was das Risiko weiter erhöht.
Welche Produkte sind von CVE-2013-2251 betroffen?
CVE-2013-2251 betrifft hauptsächlich Apache Struts sowie Apache Archiva, Fujitsu Interstage Business Process Manager Analytics, Fujitsu Gp7000f Firmware. Die betroffenen Versionen umfassen >= 2.0.0, <= 2.3.15. Organisationen sollten prüfen, ob Instanzen der betroffenen Software in ihrer Umgebung betrieben werden.
Wie behebe ich CVE-2013-2251?
Wenden Sie die Herstellerupdates gemäß den Anweisungen an. Aktualisieren Sie konkret von den betroffenen Versionen (>= 2.0.0, <= 2.3.15) auf die neueste gepatchte Version von Apache. Als Sofortmaßnahme beschränken Sie den Netzwerkzugriff auf den betroffenen Dienst auf vertrauenswürdige Netzwerke.
Wie schwerwiegend ist CVE-2013-2251?
CVE-2013-2251 hat einen CVSS-3.1-Score von 9.8 und ist als CRITICAL eingestuft. Diese kritische Einstufung spiegelt das Potenzial für vollständige Systemkompromittierung wider. Die Aufnahme in den CISA-KEV-Katalog bedeutet, dass Organisationen diese Schwachstelle innerhalb der vorgegebenen Frist beheben müssen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.