CVE-2017-5638
Apache Struts Remote Code Execution Vulnerability
Beschreibung
CVE-2017-5638 ist eine KRITISCHE Schwachstelle in Apache Struts mit einem CVSS 3.1-Score von 9.8. Apache Struts Jakarta Multipart parser allows for malicious file upload using the Content-Type value, leading to remote code execution. Betroffene Produkte umfassen Apache Struts (>= 2.2.3, < 2.3.32; >= 2.5.0, < 2.5.10.1), Oracle WebLogic Server (10.3.6.0.0; 12.1.3.0.0; 12.2.1.1.0; 12.2.1.2.0). Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV)-Katalog mit einer Behebungsfrist bis 2022-05-03 gelistet. Mit einem EPSS-Score von 0.94267 (99.93. Perzentil) zeigt diese Schwachstelle eine erhebliche reale Ausnutzungsaktivität und sollte mit hoher Priorität behoben werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apache | struts | >= 2.2.3, < 2.3.32; >= 2.5.0, < 2.5.10.1 |
| ibm | storwize v3500 firmware | 7.7.1.6; 7.8.1.0 |
| ibm | storwize v5000 firmware | 7.7.1.6; 7.8.1.0 |
| ibm | storwize v7000 firmware | 7.7.1.6; 7.8.1.0 |
| lenovo | storage v5030 firmware | 7.7.1.6; 7.8.1.0 |
| hp | server automation | 9.1.0; 10.0.0; 10.1.0; 10.2.0; 10.5.0 |
| oracle | weblogic server | 10.3.6.0.0; 12.1.3.0.0; 12.2.1.1.0; 12.2.1.2.0 |
| arubanetworks | clearpass policy manager | < 6.6.5 |
| netapp | oncommand balance | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://blog.talosintelligence.com/2017/03/apache-0-day-exploited.html(Exploit, Third Party Advisory)
- http://blog.trendmicro.com/trendlabs-security-intelligence/cve-2017-5638-apache-struts-vulnerability-remote-code-execution/(Exploit, Third Party Advisory)
- http://www.arubanetworks.com/assets/alert/ARUBA-PSA-2017-002.txt(Third Party Advisory)
- http://www.eweek.com/security/apache-struts-vulnerability-under-attack.html(Press/Media Coverage, Third Party Advisory)
- http://www.oracle.com/technetwork/security-advisory/cpujul2017-3236622.html(Patch, Third Party Advisory)
- http://www.securityfocus.com/bid/96729(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1037973(Broken Link, Third Party Advisory, VDB Entry)
- https://arstechnica.com/security/2017/03/critical-vulnerability-under-massive-attack-imperils-high-impact-sites/(Exploit, Press/Media Coverage)
- https://cwiki.apache.org/confluence/display/WW/S2-045(Mitigation, Vendor Advisory)
- https://cwiki.apache.org/confluence/display/WW/S2-046(Mitigation, Vendor Advisory)
- https://exploit-db.com/exploits/41570(Exploit, Third Party Advisory, VDB Entry)
- https://git1-us-west.apache.org/repos/asf?p=struts.git%3Ba=commit%3Bh=352306493971e7d5a756d61780d57a76eb1f519a(Broken Link)
- https://git1-us-west.apache.org/repos/asf?p=struts.git%3Ba=commit%3Bh=6b8272ce47160036ed120a48345d9aa884477228(Broken Link)
- https://github.com/mazen160/struts-pwn(Exploit)
- https://github.com/rapid7/metasploit-framework/issues/8064(Exploit, Issue Tracking)
- https://h20566.www2.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbgn03733en_us(Broken Link)
- https://h20566.www2.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbgn03749en_us(Third Party Advisory)
- https://h20566.www2.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbhf03723en_us(Third Party Advisory)
- https://isc.sans.edu/diary/22169(Exploit, Third Party Advisory)
- https://lists.apache.org/thread.html/r1125f3044a0946d1e7e6f125a6170b58d413ebd4a95157e4608041c7%40%3Cannounce.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r6d03e45b81eab03580cf7f8bb51cb3e9a1b10a2cc0c6a2d3cc92ed0c%40%3Cannounce.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r90890afea72a9571d666820b2fe5942a0a5f86be406fa31da3dd0922%40%3Cannounce.apache.org%3E(Mailing List)
- https://nmap.org/nsedoc/scripts/http-vuln-cve2017-5638.html(Exploit, Third Party Advisory)
- https://packetstormsecurity.com/files/141494/S2-45-poc.py.txt(Broken Link, Exploit, Third Party Advisory, VDB Entry)
- https://security.netapp.com/advisory/ntap-20170310-0001/(Third Party Advisory)
- https://struts.apache.org/docs/s2-045.html(Mitigation, Vendor Advisory)
- https://struts.apache.org/docs/s2-046.html(Mitigation, Vendor Advisory)
- https://support.lenovo.com/us/en/product_security/len-14200(Third Party Advisory)
- https://twitter.com/theog150/status/841146956135124993(Broken Link, Third Party Advisory)
- https://www.exploit-db.com/exploits/41614/(Exploit, Third Party Advisory, VDB Entry)
- https://www.imperva.com/blog/2017/03/cve-2017-5638-new-remote-code-execution-rce-vulnerability-in-apache-struts-2/(Third Party Advisory)
- https://www.kb.cert.org/vuls/id/834067(Third Party Advisory, US Government Resource)
- https://www.symantec.com/security-center/network-protection-security-advisories/SA145(Broken Link)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-5638(US Government Resource)
Schwachstellentyp
CWE-755: Improper Handling of Exceptional Conditions
CVE-2017-5638 wird unter CWE-755 — Improper Handling of Exceptional Conditions — klassifiziert. Improper Handling of Exceptional Conditions tritt auf, wenn Software Fehler, Ausnahmen oder ungewöhnliche Bedingungen während der Verarbeitung nicht ordnungsgemäß behandelt. Wenn die Ausnahmebehandlung fehlerhaft ist, können Fehlermeldungen, Stack-Traces oder andere Diagnoseinformationen für Benutzer sichtbar werden, oder die Anwendung kann in einen unsicheren Zustand geraten. In schwerwiegenderen Fällen kann eine fehlerhafte Ausnahmebehandlung interne Evaluierungsmechanismen für angreiferkontrollierte Eingaben freilegen.
Im Kontext von Apache Struts ist diese Schwachstelle kritisch gefährlich, da die fehlerhafte Ausnahmebehandlung des Jakarta Multipart-Parsers die OGNL-Evaluierung für angreiferkontrollierte Content-Type-Header freigeben. Wenn der Parser eine fehlerhafte Multipart-Anfrage verarbeitet, wird im Fehlerbehandlungspfad die Benutzereingabe als OGNL-Ausdruck ausgewertet, was vollständige Remote-Code-Ausführung ermöglicht. Diese Schwachstelle wurde massiv in freier Wildbahn ausgenutzt und gilt als eine der folgenschwersten Apache Struts-Schwachstellen aller Zeiten.
Mehr erfahren: CWE-755 — Improper Handling of Exceptional Conditions
Auswirkungsanalyse
CVE-2017-5638 hat einen CVSS 3.1-Score von 9.8 (KRITISCH) mit unverändertem Scope.
Vertraulichkeit (HIGH): Eine erfolgreiche Ausnutzung gewährt dem Angreifer umfassenden Zugriff auf sensible Daten, die von Apache Struts verarbeitet werden, einschließlich Konfigurationsdateien, Anmeldedaten und potenziell Daten aus verbundenen Systemen.
Integrität (HIGH): Angreifer können kritische Systemdateien modifizieren, Hintertüren installieren, Konfigurationen ändern oder Malware auf betroffenen Systemen mit Apache Struts bereitstellen.
Verfügbarkeit (HIGH): Eine vollständige Unterbrechung des betroffenen Dienstes oder Systems ist möglich, einschließlich Denial-of-Service, Systemabstürzen oder dem Unbrauchbarmachen des Produkts.
Scope unverändert: Der Scope der Schwachstelle ist unverändert (U), was bedeutet, dass die Ausnutzung auf die verwundbare Komponente beschränkt ist. Die Auswirkungen sind, obwohl erheblich, auf die Apache Struts-Umgebung selbst begrenzt.
Mit einem EPSS-Score von 0.94267 (99.93. Perzentil) gehört diese Schwachstelle zu den am wahrscheinlichsten in realen Angriffen ausgenutzten Schwachstellen, was die Dringlichkeit der Behebung unterstreicht.
Exploit-Reifegrad
CVE-2017-5638 hat eine bestätigte aktive Ausnutzung in freier Wildbahn und ist im CISA Known Exploited Vulnerabilities-Katalog gelistet.
Exploit-Status: Diese Schwachstelle wurde aktiv ausgenutzt, wie durch die Aufnahme in den KEV-Katalog bestätigt. Der EPSS-Score von 0.94267 (99.93. Perzentil) platziert sie unter den am häufigsten ausgenutzten Schwachstellen.
Ransomware-Verbindung: CVE-2017-5638 wurde mit Ransomware-Kampagnen in Verbindung gebracht. Dies erhöht das Risikoprofil erheblich, da Ransomware-Betreiber diese Schwachstelle aktiv für den Erstzugang oder die laterale Bewegung innerhalb kompromittierter Umgebungen nutzen.
Angriffsfläche: Der hohe EPSS-Score und die KEV-Listung bestätigen, dass Bedrohungsakteure funktionierende Exploits entwickelt und eingesetzt haben. Öffentliche Proof-of-Concept-Code und Exploitationstools sind verfügbar, was diese Schwachstelle für ein breites Spektrum von Angreifern zugänglich macht. Organisationen sollten davon ausgehen, dass automatisierte Scanning- und Exploitationstools für diese Schwachstelle aktiv im Einsatz sind.
KEV-Frist: CISA hat Bundesbehörden verpflichtet, diese Schwachstelle bis 2022-05-03 zu beheben. Alle Organisationen sollten diese Frist als starke Empfehlung für ihre eigenen Behebungszeitpläne betrachten.
Behebung
- Hersteller-Patches sofort anwenden. Wenden Sie Updates gemäß den Herstelleranweisungen an. Aktualisieren Sie Apache Struts auf die neueste gepatchte Version, die diese Schwachstelle behebt. Konsultieren Sie die offiziellen Herstellerhinweise für spezifische Patch-Anleitungen.
- Betroffene Produktversionen in Ihrer Umgebung überprüfen. Identifizieren Sie alle Instanzen von Apache Struts in Ihrer Infrastruktur (betroffene Versionen: Apache Struts (>= 2.2.3, < 2.3.32; >= 2.5.0, < 2.5.10.1), Oracle WebLogic Server (10.3.6.0.0; 12.1.3.0.0; 12.2.1.1.0; 12.2.1.2.0)). Verwenden Sie Asset-Inventar- und Schwachstellen-Scanning-Tools, um sicherzustellen, dass keine Instanzen übersehen werden.
- Übergangslösungen implementieren, wenn Patching verzögert wird. Falls ein sofortiges Patching nicht möglich ist, wenden Sie Netzwerk-Level-Kontrollen an, wie die Einschränkung des Zugriffs auf die betroffene Komponente, die Aktivierung erweiterter Protokollierung und die Überwachung auf Kompromittierungsindikatoren.
- Nach Anzeichen früherer Ausnutzung suchen. Angesichts der bestätigten aktiven Ausnutzung dieser Schwachstelle überprüfen Sie Systemprotokolle und Sicherheitsüberwachungsdaten auf Hinweise auf eine Kompromittierung. Führen Sie eine gründliche Untersuchung durch, wenn verdächtige Aktivitäten entdeckt werden.
- Erkennungssignaturen und Überwachungsregeln aktualisieren. Stellen Sie sicher, dass Intrusion-Detection- und Prevention-Systeme, Endpoint-Detection-Tools und SIEM-Regeln aktualisiert sind, um Ausnutzungsversuche gegen CVE-2017-5638 zu erkennen.
- Nachkontrolle nach der Behebung durchführen. Überprüfen Sie nach dem Patching, ob der Fix wirksam ist, und dokumentieren Sie die durchgeführten Behebungsmaßnahmen. Aktualisieren Sie Ihre Schwachstellenmanagement-Aufzeichnungen.
Technische Details
CVE-2017-5638 ist eine Schwachstelle mit KRITISCHEM Schweregrad in Apache Struts, die remote über das Netzwerk ohne physischen Zugang ausgenutzt werden kann. Die Angriffskomplexität ist niedrig, was bedeutet, dass keine spezialisierten Bedingungen oder Vorbereitungen über die Angriffsvoraussetzungen hinaus erforderlich sind. Es sind keine vorherigen Authentifizierungen oder Privilegien erforderlich. Es ist keine Benutzerinteraktion erforderlich, was eine vollautomatisierte Ausnutzung ermöglicht.
Technischer Mechanismus: The Jakarta Multipart parser in Apache Struts 2 has incorrect exception handling during file-upload attempts, allowing remote code execution via crafted Content-Type header. Der zugrunde liegende Fehler bezieht sich auf Improper Handling of Exceptional Conditions, wodurch Angreifer die Verarbeitungslogik der Anwendung auf unbeabsichtigte Weise manipulieren können. Eine erfolgreiche Ausnutzung ermöglicht die Ausführung beliebigen Codes auf dem Zielsystem, was potenziell zu einer vollständigen Systemkompromittierung führt.
CVSS 3.1-Vektoranalyse: Der Vektor zeigt einen Angriffsvektor von NETWORK, Angriffskomplexität von LOW, erforderliche Privilegien von NONE, Benutzerinteraktion von NONE, Scope UNCHANGED und Auswirkungsbewertungen von HIGH/HIGH/HIGH für Vertraulichkeit/Integrität/Verfügbarkeit. Der unveränderte Scope bedeutet, dass die Auswirkungen auf die verwundbare Komponente selbst beschränkt sind.
Häufig gestellte Fragen
Wird CVE-2017-5638 aktiv ausgenutzt?
Ja. CVE-2017-5638 ist im CISA Known Exploited Vulnerabilities (KEV)-Katalog gelistet, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 0.94267 (99.93. Perzentil) gehört sie zu den am häufigsten ausgenutzten Schwachstellen weltweit. Diese Schwachstelle wurde auch mit Ransomware-Kampagnen in Verbindung gebracht, was ihre aktive Nutzung durch Bedrohungsakteure weiter bestätigt.
Welche Produkte sind von CVE-2017-5638 betroffen?
Die betroffenen Produkte umfassen Apache Struts (>= 2.2.3, < 2.3.32; >= 2.5.0, < 2.5.10.1), Oracle WebLogic Server (10.3.6.0.0; 12.1.3.0.0; 12.2.1.1.0; 12.2.1.2.0). Organisationen, die eine dieser Versionen einsetzen, sollten ihre Exposition überprüfen und die Behebung priorisieren. Konsultieren Sie die Herstellerhinweise für die vollständige und aktuellste Liste der betroffenen Versionen.
Wie behebe ich CVE-2017-5638?
Wenden Sie Updates gemäß den Herstelleranweisungen an. Stellen Sie sicher, dass alle betroffenen Instanzen von Apache Struts mithilfe von Schwachstellen-Scanning und Asset-Management-Tools identifiziert werden. Falls ein sofortiges Patching nicht möglich ist, implementieren Sie Netzwerk-Level-Maßnahmen und erweiterte Überwachung. Überprüfen Sie nach dem Patching den Fix und suchen Sie nach Indikatoren für eine vorherige Kompromittierung.
Wie schwerwiegend ist CVE-2017-5638?
CVE-2017-5638 wird als KRITISCH mit einem CVSS 3.1-Score von 9.8 eingestuft. Der EPSS-Score von 0.94267 platziert sie im 99.93. Perzentil für die Ausnutzungswahrscheinlichkeit. Die Schwachstelle hat eine bestätigte aktive Ausnutzung in freier Wildbahn und musste von Bundesbehörden bis 2022-05-03 gemäß der CISA KEV-Richtlinie behoben werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.