Уязвимость механизма File Upload программной платформы Apache Struts связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код при условии загрузки специально сформированного вредоносного файла
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование «белого» списка IP-адресов для организации удалённого доступа к платформе;
- загрузка только файлов, полученных из доверенных источников, в платформу;
- использование средств межсетевого экранирования уровня веб-приложений для предотвращения попыток эксплуатации уязвимости;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций:
https://cwiki.apache.org/confluence/display/WW/S2-067
| Балл | 7.6 — критическая опасность |