Apache Struts तक 2.3.28 REST Plugin अधिकार वृद्धि

CVSS मेटा अस्थायी स्कोर	वर्तमान एक्सप्लॉइट मूल्य (≈)	CTI रुचि स्कोर
8.7	$0-$5k	0.00

सारांशजानकारी

एक सुरक्षा कमजोरी, जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, Apache Struts तक 2.3.28 में पाई गई है। प्रभावित होता है कोई अज्ञात फ़ंक्शन घटक REST Plugin का। इसमें शामिल है, जिससे अधिकार वृद्धि उत्पन्न होती है। यह सुरक्षा कमजोरी CVE-2016-3087 के रूप में संदर्भित है। यह हमला दूर से किया जा सकता है। अतिरिक्त रूप से, एक एक्सप्लॉइट मौजूद है. यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए।

विवरणजानकारी

एक सुरक्षा कमजोरी, जिसे आलोचनात्मक के रूप में वर्गीकृत किया गया है, Apache Struts तक 2.3.28 में पाई गई है। प्रभावित होता है कोई अज्ञात फ़ंक्शन घटक REST Plugin का। इसमें शामिल है, जिससे अधिकार वृद्धि उत्पन्न होती है। CWE के माध्यम से समस्या घोषित करने पर CWE-20 मिलता है। इस कमजोरी को प्रकाशित किया गया था 02/06/2016 द्वारा Alvaro Munoz के रूप में S2-033 के रूप में Security Bulletin (वेबसाइट). एडवाइजरी को struts.apache.org पर डाउनलोड के लिए उपलब्ध कराया गया है।

यह सुरक्षा कमजोरी CVE-2016-3087 के रूप में संदर्भित है। 10/03/2016 को CVE असाइन किया गया था. यह हमला दूर से किया जा सकता है। कोई टेक्निकल डिटेल्स उपलब्ध नहीं हैं. हमले को अंजाम देना अपेक्षाकृत कठिन है। इसे एक्सप्लॉइट करना मुश्किल माना जाता है। यह भेद्यता सामान्य से कम लोकप्रिय है। अतिरिक्त रूप से, एक एक्सप्लॉइट मौजूद है. यह एक्सप्लॉइट सार्वजनिक रूप से उजागर हो चुका है और इसका दुरुपयोग संभव है। इस समय एक्सप्लॉइट का मौजूदा मूल्य करीब USD $0-$5k माना जा रहा है।

यह उच्च कार्यात्मक के रूप में घोषित है। यह एक्सप्लॉइट securityfocus.com पर डाउनलोड के लिए साझा किया गया है। 0-day के रूप में अनुमानित भूमिगत कीमत लगभग $5k-$25k थी। Nessus वल्नरेबिलिटी स्कैनर 90773 आईडी के साथ एक प्लगइन उपलब्ध कराता है। यह विविध परिवार को सौंपा गया है। यह प्लगइन l टाइप के कॉन्टेक्स्ट में चल रहा है। वाणिज्यिक वल्नरेबिलिटी स्कैनर Qualys इस समस्या का परीक्षण 11647 प्लगइन से कर सकता है (Apache Struts Dynamic Method Invocation Remote Code Execution Vulnerability (S2-033)).

इस समस्या का समाधान 2.3.20.3, 2.3.24.3 , 2.3.28.1 संस्करण में अपग्रेड करने से किया जा सकता है। यदि Disable Dynamic Method Invocation कॉन्फ़िगरेशन सेटिंग लागू की जाए, तो समस्या को कम किया जा सकता है। यह अनुशंसा की जाती है कि प्रभावित घटक को अपग्रेड किया जाए। परामर्श में निम्नलिखित टिप्पणी शामिल है:

No issues expected when upgrading to Struts 2.3.20.3, 2.3.24.3 and 2.3.28.1

यह कमज़ोरी अन्य कमज़ोरी डेटाबेस में भी उपलब्ध है: SecurityFocus (BID 90960), SecurityTracker (ID 1036017) , Tenable (90773).

प्रभावित नहीं

• Apache Struts 2.3.20.3/2.3.24.3

उत्पादजानकारी

प्रकार

• Programming Tool Software

विक्रेता

• Apache

नाम

• Struts

संस्करण

• 2.3.0
• 2.3.1
• 2.3.2
• 2.3.3
• 2.3.4
• 2.3.5
• 2.3.6
• 2.3.7
• 2.3.8
• 2.3.9
• 2.3.10
• 2.3.11
• 2.3.12
• 2.3.13
• 2.3.14
• 2.3.15
• 2.3.16
• 2.3.17
• 2.3.18
• 2.3.19
• 2.3.20
• 2.3.21
• 2.3.22
• 2.3.23
• 2.3.24
• 2.3.25
• 2.3.26
• 2.3.27
• 2.3.28

लाइसेंस

• खुला स्रोत

वेबसाइट

• विक्रेता: https://www.apache.org/

CPE 2.3जानकारी

• 🔍
• 🔍
• 🔍

CPE 2.2जानकारी

• 🔍
• 🔍
• 🔍

CVSSv4जानकारी

VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

CVSSv3जानकारी

VulDB मेटा बेस स्कोर: 8.9
VulDB मेटा अस्थायी स्कोर: 8.7

VulDB मूल स्कोर: 8.1
VulDB अस्थायी स्कोर: 7.7
VulDB वेक्टर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 9.8
NVD वेक्टर: 🔍

CVSSv2जानकारी

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

सदिश	जटिलता	प्रमाणीकरण	गोपनीयता	अखंडता	उपलब्धता
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

VulDB मूल स्कोर: 🔍
VulDB अस्थायी स्कोर: 🔍
VulDB विश्वसनीयता: 🔍

NVD मूल स्कोर: 🔍

शोषणजानकारी

वर्ग: अधिकार वृद्धि
CWE: CWE-20
CAPEC: 🔍
ATT&CK: 🔍

भौतिक: नहीं
स्थानीय: नहीं
दूरस्थ: हाँ

उपलब्धता: 🔍
प्रवेश: सार्वजनिक
स्थिति: उच्च कार्यात्मक
प्रोग्रामिंग भाषा: 🔍
डाउनलोड: 🔍

EPSS Score: 🔍
EPSS Percentile: 🔍

मूल्य पूर्वानुमान: 🔍
वर्तमान मूल्य अनुमान: 🔍

0-Day	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना
आज	अनलॉक करना	अनलॉक करना	अनलॉक करना	अनलॉक करना

Nessus ID: 90773
Nessus नाम: Apache Struts 2.x < 2.3.28.1 Multiple Vulnerabilities
Nessus Arquivo: 🔍
Nessus जोखिम: 🔍
Nessus परिवार: 🔍
Nessus Context: 🔍

OpenVAS ID: 861699
OpenVAS नाम: Apache Struts Multiple Arbitrary Code Execution Vulnerabilities May16
OpenVAS Arquivo: 🔍
OpenVAS परिवार: 🔍

Qualys ID: 🔍
Qualys नाम: 🔍

MetaSploit ID: struts_dmi_rest_exec.rb
MetaSploit नाम: Apache Struts REST Plugin With Dynamic Method Invocation Remote Code Execution
MetaSploit Arquivo: 🔍

Exploit-DB: 🔍

खतरे की खुफियाजानकारी

रुचि: 🔍
सक्रिय अभिनेता: 🔍
सक्रिय APT समूह: 🔍

प्रतिव्यवस्थाजानकारी

सिफारिश: अपग्रेड
स्थिति: 🔍

0-दिवसीय समय: 🔍

अपग्रेड: Struts 2.3.20.3/2.3.24.3/2.3.28.1
Config: Disable Dynamic Method Invocation

समयरेखाजानकारी

10/03/2016 🔍
21/04/2016 +42 दिन 🔍
28/04/2016 +7 दिन 🔍
31/05/2016 +33 दिन 🔍
02/06/2016 +2 दिन 🔍
02/06/2016 +0 दिन 🔍
03/06/2016 +1 दिन 🔍
07/06/2016 +4 दिन 🔍
19/01/2025 +3148 दिन 🔍

स्रोतजानकारी

विक्रेता: apache.org

सलाह: S2-033
शोधकर्ता: Alvaro Munoz
स्थिति: पुष्टि की गई
पुष्टि: 🔍

CVE: CVE-2016-3087 (🔍)
GCVE (CVE): GCVE-0-2016-3087
GCVE (VulDB): GCVE-100-87717
SecurityFocus: 90960 - Apache Struts CVE-2016-3087 Remote Code Execution Vulnerability
SecurityTracker: 1036017

scip Labs: https://www.scip.ch/en/?labs.20161013
यह भी देखें: 🔍

प्रविष्टिजानकारी

बनाया गया: 03/06/2016 11:48 AM
अद्यतनित: 19/01/2025 04:45 AM
परिवर्तन: 03/06/2016 11:48 AM (78), 28/12/2018 10:54 AM (16), 22/08/2022 06:57 PM (3), 09/10/2024 05:12 AM (16), 19/01/2025 04:45 AM (2)
पूर्ण: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

चर्चा

Want to know what is going to be exploited?

We predict KEV entries!