Уязвимость реализации класса ParametersInterceptor программной платформы Apache Struts связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации с помощью параметра класса, который передается методу getClass
Использование рекомендаций:
Для Apache Struts:
https://cwiki.apache.org/confluence/display/WW/S2-020
Компенсирующие меры:
добавить '^ class\.*' в список excludeParams:
<interceptor-ref name="params">
<param name="excludeParams">^class\..*,^dojo\..*,^struts\..*,^session\..*,^request\..*,^application\..*,^servlet(Request|Response)\..*,^parameters\..*,^action:.*,^method:.*</param>
</interceptor-ref>
Для программных продуктов Oracle:
https://www.oracle.com/security-alerts/cpuapr2015.html
Для программных продуктов IBM Corp.:
https://www.ibm.com/blogs/psirt/security-bulletin-ibm-call-center-and-apache-struts-struts-upgrade-strategy-various-cves-see-below/
https://www.ibm.com/support/pages/security-bulletin-security-bypass-vulnerability-san-volume-controller-and-storwize-family-cve-2014-0094-0
https://www.ibm.com/support/pages/security-bulletin-ibm-sterling-order-management-ibm-sterling-configure-price-quote-and-sterling-web-channel-are-affected-apache-struts-2-security-vulnerabilities
Для программных продуктов VMware:
https://www.vmware.com/security/advisories/VMSA-2014-0007.html
| Балл | 5 — средняя опасность |