#apachestruts2

[zakybstrd21215]

PoC Exploit Apache Struts2 Vulnerability (CVE-2017-9805) Disclaimer: This tutorial/guide for educational purpose only. The vulnerability (CVE-2017-9805) is a programming blunder that resides in the way Struts processes data from an untrusted source. Specifically, Struts REST plugin fails to handle XML payloads while deserializing them properly. All versions of Apache Struts since 2008 (Struts 2.1.2 - Struts 2.3.33, Struts 2.5 - Struts 2.5.12) are affected, leaving all web applications using the framework’s REST plugin vulnerable to remote attackers. More info about this vulnerability: https://errorcybernews.com/2017/09/06/kerentanan-kritis-apache-struts2/ Full version: https://youtu.be/E5MKx9NvRAA #apache #struts #struts2 #apachestruts2 #strutsrestplugin #vulnerabilities #vulnerability #cve20179805

[oom-killer]

2017/03/21-26

*「影響範囲が広がるApacheStruts2の脆弱性」記事へのコメント https://srad.jp/comment/3180039 >いわば他言語で言うところのevalにあたるもので、便利な一方で慎重に使わ >ないとセキュリティリスクに直結する非常に危険な代物です。 > >そんなevalに相当する恐ろしいものがStruts2では設定ファイルを始め(今回 >問題になった)ログのフォーマットや動的なHTML(JSP)生成に使われたりと >広範囲に利用されています。 >このようにStruts2にはOGNLを基盤に使うという根本的にセキュリティリスク >のある設計になっているため今後も同種の脆弱性は出続けるでしょう。 >最善の策はStruts2の利用を止めることですね。

*Red Hat Enterprise Linux 6.9がリリース，6.xとして最後のアップデート http://gihyo.jp/admin/clip/01/linux_dt/201703/22 >RHEL 6.9をもってRHEL 6.xは最後のアップデートとなり，5月10日からは >運用フェーズ3（Production Phase 3）に入ることになる。今後，RHEL 6は >セキュリティフィックスを中心とするメンテナンスアップデートのみが適用 >され，ユーザに対してはRHEL 7へのマイグレーションが推奨されることになる。

[scalper]

3月9日、Webアプリケーションフレームワーク「Apache Struts」の脆弱性を狙った攻撃に対する注意喚起が出ていたが（過去記事）、この脆弱性を狙った攻撃や実際の被害が多数報告されている。

[typista]

【注意】都納税サイトから67万件のクレカ情報流出!?原因はApacheStruts2 via Pocket http://ift.tt/2lMy8mL