CVE-2018-11776
Apache Struts Remote Code Execution Vulnerability
Beschreibung
CVE-2018-11776 ist eine HOHE Schwachstelle in Apache Struts mit einem CVSS 3.1-Score von 8.1. Apache Struts contains a vulnerability that allows for remote code execution when alwaysSelectFullNamespace is true and results are used with no namespace. Betroffene Produkte umfassen Apache Struts (>= 2.0.4, < 2.3.35; >= 2.5.0, < 2.5.17), Oracle MySQL Enterprise Monitor (<= 3.4.9.4237; >= 4.0.0, <= 4.0.6.5281; >= 8.0.0, <= 8.0.2.8191). Diese CVE ist im CISA Known Exploited Vulnerabilities (KEV)-Katalog mit einer Behebungsfrist bis 2022-05-03 gelistet. Mit einem EPSS-Score von 0.94431 (99.98. Perzentil) zeigt diese Schwachstelle eine erhebliche reale Ausnutzungsaktivität und sollte mit hoher Priorität behoben werden.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apache | struts | >= 2.0.4, < 2.3.35; >= 2.5.0, < 2.5.17 |
| netapp | active iq unified manager | >= 7.3; >= 9.5 |
| netapp | oncommand insight | - |
| netapp | oncommand workflow automation | - |
| netapp | snapcenter | - |
| oracle | communications policy management | < 12.5.0 |
| oracle | enterprise manager base platform | 13.3.0.0; 13.4.0.0 |
| oracle | mysql enterprise monitor | <= 3.4.9.4237; >= 4.0.0, <= 4.0.6.5281; >= 8.0.0, <= 8.0.2.8191 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://packetstormsecurity.com/files/172830/Apache-Struts-Remote-Code-Execution.html(Third Party Advisory, VDB Entry)
- http://www.arubanetworks.com/assets/alert/ARUBA-PSA-2018-005.txt(Broken Link, Mailing List, Third Party Advisory)
- http://www.oracle.com/technetwork/security-advisory/alert-cve-2018-11776-5072787.html(Patch, Third Party Advisory)
- http://www.oracle.com/technetwork/security-advisory/cpuoct2018-4428296.html(Patch, Third Party Advisory)
- http://www.securityfocus.com/bid/105125(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1041547(Broken Link, Third Party Advisory, VDB Entry)
- http://www.securitytracker.com/id/1041888(Broken Link, Third Party Advisory, VDB Entry)
- https://cwiki.apache.org/confluence/display/WW/S2-057(Issue Tracking, Third Party Advisory)
- https://github.com/hook-s3c/CVE-2018-11776-Python-PoC(Exploit, Third Party Advisory)
- https://lgtm.com/blog/apache_struts_CVE-2018-11776(Exploit, Third Party Advisory)
- https://lists.apache.org/thread.html/r6d03e45b81eab03580cf7f8bb51cb3e9a1b10a2cc0c6a2d3cc92ed0c%40%3Cannounce.apache.org%3E(Mailing List)
- https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2018-0012(Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20180822-0001/(Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20181018-0002/(Third Party Advisory)
- https://www.exploit-db.com/exploits/45260/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/45262/(Exploit, Third Party Advisory, VDB Entry)
- https://www.exploit-db.com/exploits/45367/(Exploit, Third Party Advisory, VDB Entry)
- https://www.oracle.com/security-alerts/cpujul2020.html(Third Party Advisory)
- https://www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html(Patch, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-11776(US Government Resource)
Schwachstellentyp
Nicht klassifizierte Schwachstelle
CVE-2018-11776 hat keine spezifische CWE-Klassifikation in der National Vulnerability Database zugewiesen. Die Schwachstelle in Apache Struts betrifft die unsachgemäße Behandlung von Namespace- und Result-Konfigurationen, die es Angreifern ermöglicht, OGNL-Ausdrücke über URL-Tags und Action-Results einzuschleusen. Wenn die Option alwaysSelectFullNamespace aktiviert ist und Namespace-Werte nicht explizit definiert sind, verarbeitet das Framework vom Benutzer bereitgestellte Namespace-Werte unsachgemäß, was zu OGNL-Ausdrucksauswertung und Remote-Code-Ausführung führt.
Das Fehlen einer spezifischen CWE-Klassifikation mindert nicht die Schwere dieser Schwachstelle. Das zugrunde liegende Problem kombiniert Elemente der unsachgemäßen Eingabevalidierung und Expression-Language-Injection, bei der das Framework Namespace-Werte aus URLs ohne angemessene Bereinigung vertraut. Dieser architektonische Fehler in der Namespace-Auflösung von Apache Struts für Action-Results und URL-Tags wurde aktiv in freier Wildbahn ausgenutzt und sollte mit der gleichen Dringlichkeit wie jede klassifizierte kritische Schwachstelle behandelt werden.
Auswirkungsanalyse
CVE-2018-11776 hat einen CVSS 3.1-Score von 8.1 (HOCH) mit unverändertem Scope.
Vertraulichkeit (HIGH): Eine erfolgreiche Ausnutzung gewährt dem Angreifer umfassenden Zugriff auf sensible Daten, die von Apache Struts verarbeitet werden, einschließlich Konfigurationsdateien, Anmeldedaten und potenziell Daten aus verbundenen Systemen.
Integrität (HIGH): Angreifer können kritische Systemdateien modifizieren, Hintertüren installieren, Konfigurationen ändern oder Malware auf betroffenen Systemen mit Apache Struts bereitstellen.
Verfügbarkeit (HIGH): Eine vollständige Unterbrechung des betroffenen Dienstes oder Systems ist möglich, einschließlich Denial-of-Service, Systemabstürzen oder dem Unbrauchbarmachen des Produkts.
Scope unverändert: Der Scope der Schwachstelle ist unverändert (U), was bedeutet, dass die Ausnutzung auf die verwundbare Komponente beschränkt ist. Die Auswirkungen sind, obwohl erheblich, auf die Apache Struts-Umgebung selbst begrenzt.
Mit einem EPSS-Score von 0.94431 (99.98. Perzentil) gehört diese Schwachstelle zu den am wahrscheinlichsten in realen Angriffen ausgenutzten Schwachstellen, was die Dringlichkeit der Behebung unterstreicht.
Exploit-Reifegrad
CVE-2018-11776 hat eine bestätigte aktive Ausnutzung in freier Wildbahn und ist im CISA Known Exploited Vulnerabilities-Katalog gelistet.
Exploit-Status: Diese Schwachstelle wurde aktiv ausgenutzt, wie durch die Aufnahme in den KEV-Katalog bestätigt. Der EPSS-Score von 0.94431 (99.98. Perzentil) platziert sie unter den am häufigsten ausgenutzten Schwachstellen.
Ransomware-Verbindung: Nach den neuesten KEV-Daten wurde keine direkte Ransomware-Verbindung für CVE-2018-11776 bestätigt. Die bestätigte Ausnutzung in freier Wildbahn bedeutet jedoch, dass Bedrohungsakteure diese Schwachstelle aktiv in Angriffen einsetzen.
Angriffsfläche: Der hohe EPSS-Score und die KEV-Listung bestätigen, dass Bedrohungsakteure funktionierende Exploits entwickelt und eingesetzt haben. Öffentliche Proof-of-Concept-Code und Exploitationstools sind verfügbar, was diese Schwachstelle für ein breites Spektrum von Angreifern zugänglich macht. Organisationen sollten davon ausgehen, dass automatisierte Scanning- und Exploitationstools für diese Schwachstelle aktiv im Einsatz sind.
KEV-Frist: CISA hat Bundesbehörden verpflichtet, diese Schwachstelle bis 2022-05-03 zu beheben. Alle Organisationen sollten diese Frist als starke Empfehlung für ihre eigenen Behebungszeitpläne betrachten.
Behebung
- Hersteller-Patches sofort anwenden. Wenden Sie Updates gemäß den Herstelleranweisungen an. Aktualisieren Sie Apache Struts auf die neueste gepatchte Version, die diese Schwachstelle behebt. Konsultieren Sie die offiziellen Herstellerhinweise für spezifische Patch-Anleitungen.
- Betroffene Produktversionen in Ihrer Umgebung überprüfen. Identifizieren Sie alle Instanzen von Apache Struts in Ihrer Infrastruktur (betroffene Versionen: Apache Struts (>= 2.0.4, < 2.3.35; >= 2.5.0, < 2.5.17), Oracle MySQL Enterprise Monitor (<= 3.4.9.4237; >= 4.0.0, <= 4.0.6.5281; >= 8.0.0, <= 8.0.2.8191)). Verwenden Sie Asset-Inventar- und Schwachstellen-Scanning-Tools, um sicherzustellen, dass keine Instanzen übersehen werden.
- Übergangslösungen implementieren, wenn Patching verzögert wird. Falls ein sofortiges Patching nicht möglich ist, wenden Sie Netzwerk-Level-Kontrollen an, wie die Einschränkung des Zugriffs auf die betroffene Komponente, die Aktivierung erweiterter Protokollierung und die Überwachung auf Kompromittierungsindikatoren.
- Nach Anzeichen früherer Ausnutzung suchen. Angesichts der bestätigten aktiven Ausnutzung dieser Schwachstelle überprüfen Sie Systemprotokolle und Sicherheitsüberwachungsdaten auf Hinweise auf eine Kompromittierung. Führen Sie eine gründliche Untersuchung durch, wenn verdächtige Aktivitäten entdeckt werden.
- Erkennungssignaturen und Überwachungsregeln aktualisieren. Stellen Sie sicher, dass Intrusion-Detection- und Prevention-Systeme, Endpoint-Detection-Tools und SIEM-Regeln aktualisiert sind, um Ausnutzungsversuche gegen CVE-2018-11776 zu erkennen.
- Nachkontrolle nach der Behebung durchführen. Überprüfen Sie nach dem Patching, ob der Fix wirksam ist, und dokumentieren Sie die durchgeführten Behebungsmaßnahmen. Aktualisieren Sie Ihre Schwachstellenmanagement-Aufzeichnungen.
Technische Details
CVE-2018-11776 ist eine Schwachstelle mit HOHEM Schweregrad in Apache Struts, die remote über das Netzwerk ohne physischen Zugang ausgenutzt werden kann. Die Angriffskomplexität ist hoch, was bedeutet, dass spezifische Bedingungen außerhalb der Kontrolle des Angreifers für eine erfolgreiche Ausnutzung bestehen müssen. Es sind keine vorherigen Authentifizierungen oder Privilegien erforderlich. Es ist keine Benutzerinteraktion erforderlich, was eine vollautomatisierte Ausnutzung ermöglicht.
Technischer Mechanismus: Apache Struts versions 2.3 to 2.3.34 and 2.5 to 2.5.16 suffer from possible Remote Code Execution when alwaysSelectFullNamespace is true. Der zugrunde liegende Fehler betrifft die unsachgemäße Behandlung der Namespace-Auflösung im Struts-Framework, die es Angreifern ermöglicht, OGNL-Ausdrücke über URL-Parameter einzuschleusen. Eine erfolgreiche Ausnutzung ermöglicht die Ausführung beliebigen Codes auf dem Zielsystem, was potenziell zu einer vollständigen Systemkompromittierung führt.
CVSS 3.1-Vektoranalyse: Der Vektor zeigt einen Angriffsvektor von NETWORK, Angriffskomplexität von HIGH, erforderliche Privilegien von NONE, Benutzerinteraktion von NONE, Scope UNCHANGED und Auswirkungsbewertungen von HIGH/HIGH/HIGH für Vertraulichkeit/Integrität/Verfügbarkeit. Der unveränderte Scope bedeutet, dass die Auswirkungen auf die verwundbare Komponente selbst beschränkt sind.
Häufig gestellte Fragen
Wird CVE-2018-11776 aktiv ausgenutzt?
Ja. CVE-2018-11776 ist im CISA Known Exploited Vulnerabilities (KEV)-Katalog gelistet, was eine aktive Ausnutzung in freier Wildbahn bestätigt. Mit einem EPSS-Score von 0.94431 (99.98. Perzentil) gehört sie zu den am häufigsten ausgenutzten Schwachstellen weltweit. Organisationen sollten dies als sofortige Behebungspriorität behandeln.
Welche Produkte sind von CVE-2018-11776 betroffen?
Die betroffenen Produkte umfassen Apache Struts (>= 2.0.4, < 2.3.35; >= 2.5.0, < 2.5.17), Oracle MySQL Enterprise Monitor (<= 3.4.9.4237; >= 4.0.0, <= 4.0.6.5281; >= 8.0.0, <= 8.0.2.8191). Organisationen, die eine dieser Versionen einsetzen, sollten ihre Exposition überprüfen und die Behebung priorisieren. Konsultieren Sie die Herstellerhinweise für die vollständige und aktuellste Liste der betroffenen Versionen.
Wie behebe ich CVE-2018-11776?
Wenden Sie Updates gemäß den Herstelleranweisungen an. Stellen Sie sicher, dass alle betroffenen Instanzen von Apache Struts mithilfe von Schwachstellen-Scanning und Asset-Management-Tools identifiziert werden. Falls ein sofortiges Patching nicht möglich ist, implementieren Sie Netzwerk-Level-Maßnahmen und erweiterte Überwachung. Überprüfen Sie nach dem Patching den Fix und suchen Sie nach Indikatoren für eine vorherige Kompromittierung.
Wie schwerwiegend ist CVE-2018-11776?
CVE-2018-11776 wird als HOCH mit einem CVSS 3.1-Score von 8.1 eingestuft. Der EPSS-Score von 0.94431 platziert sie im 99.98. Perzentil für die Ausnutzungswahrscheinlichkeit. Die Schwachstelle hat eine bestätigte aktive Ausnutzung in freier Wildbahn und musste von Bundesbehörden bis 2022-05-03 gemäß der CISA KEV-Richtlinie behoben werden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.