2016-0706: Apache Software Foundation Struts: Zwei Schwachstellen ermöglichen die Ausführung beliebigen Programmcodes

Historie:

Version 1 (2016-05-04 15:38): Neues Advisory

Betroffene Software

Server

Betroffene Plattformen

IBM
Linux
Microsoft
UNIX

Beschreibung:

Zwei Schwachstellen in Apache Struts 2.0.0 und höher ermöglichen einem entfernten, nicht authentifizierten Angreifer die Ausführung beliebigen Programmcodes über HTTP-Anfragen, falls 'Dynamic Method Invocation' aktiviert ist, oder speziell präparierte Stylesheets, die von 'XSLTResult' verarbeitet werden.

Der Hersteller veröffentlicht die Programmversion 2.3.28.1 zur Behebung der Schwachstellen und weist darauf hin, dass die Versionen 2.3.20.3 und 2.3.24.3 nicht betroffen sind.

Schwachstellen:

CVE-2016-3081

Schwachstelle in Apache Struts ermöglicht Ausführung beliebigen Programmcodes

CVE-2016-3082