https://www.opennet.me/openforum/vsluhforumID3/115113.html В web-фреймворке Apache Struts, применяемом для создания web-приложений на языке Java с использованием парадигмы Model-View-Controller, выявлена уязвимость (https://cwiki.apache.org/confluence/display/WW/S2-057) (CVE-2018-11776 (https://security-tracker.debian.org/tracker/CVE-2018-11776)), позволяющая удалённому злоумышленнику выполнить свой код в системе через отправку специально оформленного запроса. Проблема устранена в выпусках Struts 2.3.35 и 2.5.17 и проявляется в приложениях, в которых не выставлено пространство имён для всех определённых в конфигурации результатов. <br><br><br>Уязвимость вызвана некорректной проверкой передаваемых извне данных в ядре Struts и может проявляться различными способами. В настоящее время известно (https://semmle.com/news/apache-struts-CVE-2018-11776) два вектора атаки, позволяющих выполнить код на сервере. Для успешной атаки требуется выполнение двух условий: Во-первых, в настройках флаг alwaysSelectFullNamespace должен быть выставлен в значение "true" (автоматически выставляетс https://www.opennet.me/openforum/vsluhforumID3/115113.html#18 Mon, 27 Aug 2018 06:44:05 GMT В основном - Spring. Там ребята сделали много чего для упрощения разработки (правда местами настолько упростили, что некоторые вещи теперь вообще только через одно место можно сделать....)<br><br>А Struts я уже много лет нигде не встречал, даже старые проекты на нем уже практически все загнулись.<br> https://www.opennet.me/openforum/vsluhforumID3/115113.html#17 Sat, 25 Aug 2018 09:14:56 GMT это Struts 2. В Struts 1 таких уязвимостей нет и быть не может. Просто эти мастера-разработчики не смогли вовремя остановиться и родили Struts 2.<br> https://www.opennet.me/openforum/vsluhforumID3/115113.html#16 Fri, 24 Aug 2018 23:24:42 GMT &gt; Это же проект начала 2000. В новых проектах очень давно не используют. <br><br>А что используют?<br> https://www.opennet.me/openforum/vsluhforumID3/115113.html#15 Fri, 24 Aug 2018 09:10:59 GMT Это же проект начала 2000. В новых проектах очень давно не используют.<br> https://www.opennet.me/openforum/vsluhforumID3/115113.html#14 Fri, 24 Aug 2018 06:21:03 GMT зато у нас можно запускать java-код, а не какой-то дурацкий sql или вовсе только нагадить в fs/стянуть неположенное как у этих самоучек-с-джангой и phpшных вем-макак!<br><br>Энтерпрайз, все дела!<br><br> https://www.opennet.me/openforum/vsluhforumID3/115113.html#13 Fri, 24 Aug 2018 06:07:09 GMT Предложение отклонено. Конвоиры, выведите его!<br><br>&gt; Оверинженеринг https://www.opennet.me/openforum/vsluhforumID3/115113.html#12 Fri, 24 Aug 2018 05:50:49 GMT &gt;пространства имён<br>&gt;язык OGNL (Object-Graph Navigation Language)<br><br>Предлагаю считать понятия "JAVA" и "Оверинженеринг" синонимами.<br> https://www.opennet.me/openforum/vsluhforumID3/115113.html#10 Fri, 24 Aug 2018 05:26:44 GMT Интересно, зачем интерполировать параметры..<br> https://www.opennet.me/openforum/vsluhforumID3/115113.html#8 Fri, 24 Aug 2018 03:14:36 GMT Я, честно говоря, надеялся на какую-нибудь низкоуровневую жесть или хотя бы случайную/не корректную интерполяцию параметров&#8230; а тут почти что готовая ручка для RCE. Эх, обмельчало племя махровых энтерпрайзных джавистов.<br>