Apache ha publicado un aviso de seguridad advirtiendo sobre una falla crítica en el marco de la aplicación web de código abierto Apache Struts 2. La vulnerabilidad, registrada como CVE-2023-50164, podría permitir la ejecución remota de código.
Detalles técnicos de la vulnerabilidad
La falla tiene su origen en una «lógica de carga de archivos» defectuosa que podría permitir un recorrido de ruta no autorizado. En ciertas condiciones, esta vulnerabilidad podría explotarse para cargar un archivo malicioso y lograr la ejecución de código arbitrario.
Impacto y afectación
Afecta las siguientes versiones del software: Struts 2.3.37 (EOL), Struts 2.5.0 a Struts 2.3.37 2.5.32, y Struts 6.0.0 a Struts 6.3.0.
- Struts 2.3.37 (EOL)
- Struts 2.5.0 a Struts 2.3.37 2.5.32
- Struts 6.0.0 a Struts 6.3.0
Los parches para el error están disponibles en las versiones 2.5.33 y 6.3.0 o superiores. No existen soluciones alternativas que mitiguen el problema.
Recomendaciones del proyecto Apache Struts
Los encargados del proyecto recomiendan encarecidamente a todos los desarrolladores que realicen esta actualización. El aviso publicado la semana pasada destaca que «esta es una actualización directa y sencilla».
Contexto histórico
Aunque no hay evidencia de que la vulnerabilidad esté siendo explotada en ataques del mundo real, los actores de amenazas utilizaron una falla de seguridad anterior en el software (CVE-2017-5638) para atacar a Equifax en 2017.
Investigación y publicaciones técnicas
El 10 de diciembre, un investigador de seguridad publicó un artículo técnico sobre CVE-2023-50164 explicando cómo un actor de amenazas podría contaminar los parámetros de carga de archivos en los ataques. Ayer se publicó un segundo artículo que incluye código de explotación para la falla.
Investigación por parte de Cisco
Cisco está investigando CVE-2023-50164 para determinar cuáles de sus productos con Apache Struts pueden verse afectados y en qué medida. Una lista completa de los productos potencialmente afectados está disponible en el boletín de seguridad de Cisco, que se espera que se actualice con información nueva.