Apache Struts 直到 2.5.32/6.3.0.1 File Upload 权限提升

摘要信息

检测到一个被分类为棘手的安全漏洞，影响Apache Struts 直到 2.5.32/6.3.0.1。 被影响的是 未知函数，属于File Upload Handler组件。 当被操控时，会导致 权限提升。 此安全漏洞编号为CVE-2023-50164。 攻击可能远程发起， 没有可用的漏洞利用。 建议对受影响组件进行升级。

细节信息

检测到一个被分类为棘手的安全漏洞，影响Apache Struts 直到 2.5.32/6.3.0.1。 被影响的是 未知函数，属于File Upload Handler组件。 当被操控时，会导致 权限提升。 使用CWE来声明会导致 CWE-552 的问题。 此安全漏洞在 2023-12-07公开发布。 索取公告的网址是lists.apache.org。

此安全漏洞编号为CVE-2023-50164。 在2023-12-04进行了CVE分配。 攻击可能远程发起， 暂无技术细节。 该漏洞的普及率低于常规水平。 没有可用的漏洞利用。 目前漏洞的结构决定了可能的价格范围为美元价USD $0-$5k。 根据MITRE ATT&CK，此问题部署的攻击技术是T1083。

若有长度，则其被标记为 未定义。 我们估计的零日攻击价值约为$5k-$25k。

更新到 2.5.33 , 6.3.0.2 版本能够解决该问题。 更新版本已可在cwiki.apache.org下载。 建议对受影响组件进行升级。

产品信息

类型

• Programming Tool Software

供应商

• Apache

名称

• Struts

版本

• 2.5.0
• 2.5.1
• 2.5.2
• 2.5.3
• 2.5.4
• 2.5.5
• 2.5.6
• 2.5.7
• 2.5.8
• 2.5.9
• 2.5.10
• 2.5.11
• 2.5.12
• 2.5.13
• 2.5.14
• 2.5.15
• 2.5.16
• 2.5.17
• 2.5.18
• 2.5.19
• 2.5.20
• 2.5.21
• 2.5.22
• 2.5.23
• 2.5.24
• 2.5.25
• 2.5.26
• 2.5.27
• 2.5.28
• 2.5.29
• 2.5.30
• 2.5.31
• 2.5.32
• 6.3.0.0
• 6.3.0.1

许可证

• 开源

网站

• 供应商: https://www.apache.org/

CPE 2.3信息

• 🔍
• 🔍
• 🔍

CPE 2.2信息

• 🔍
• 🔍
• 🔍

CVSSv4信息

CVSSv3信息

CVSSv2信息

利用信息

威胁情报信息

对策信息

时间轴信息

来源信息

条目信息

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

讨论