Vulnerabilidad en Apache Struts compromete a miles de servidores

Talos el equipo de seguridad de Cisco,  ha observado ataques activos contra una vulnerabilidad 0day  en Apache Struts la vulnerabilidad corresponde a (CVE-2017-5638). Cisco investigó la vulnerabilidad poco después de  una serie de ataques alrededor del mundo.

Según los investigadores, el problema es una vulnerabilidad de ejecución remota de código en el analizador Jakarta multipart de Apache Struts que podría permitir a un atacante ejecutar comandos maliciosos  en el servidor como por ejemplo  payloads.




Con la explotación de este 0day Talos recomienda realizar actualización inmediatamente si es posible.

"Si está utilizando analizador de carga de archivos multiparts basada en Jakarta, Es sumamente necesario actualizar a la versión 2.3.32 de Apache Struts o 2.5.10.1. También puede cambiar a una aplicación diferente analizando multipart/form-data ".

Además, los administradores preocupados por la cuestión sólo podría aplicar las actualizaciones adecuadas, que están disponibles en la actualidad.

En una entrada del blog de Cisco dijo que descubrieron una serie de ataques que parecen estar aprovechando una prueba de concepto-lanzado públicamente para ejecutar varios comandos. Dichos comandos incluyen los simples ( 'whoami'), así como otros más sofisticados, incluyendo un pulling down ejecutable ELF malicioso y ejecutarlo.


Como se  muestra en un ejemplo de algunos ataques de pruebas simples se verifica  si un sistema es vulnerable mediante la ejecución de un simple comando de en Linux.

Este es otro ejemplo de un ataque activo que tiene un poco más de trabajo mediante un payload malicioso.

Los pasos incluyen detener el firewall de Linux, así como el firewall de SUSE Linux. Los pasos finales incluyen la ejecucion de un payload malicioso desde un servidor web los payloads son varios pueden incluir gorilla IRC, bots para DDOS, etc.

Así se podrían ir viendo varias formas de comprometer el servidor como lo hace saber en su blog Talos, la vulnerabilidad se puede encontrar en el aviso de seguridad.

Fuente: Talos