Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-77

CVE-2016-3081

Apache Struts'ta Dinamik Metot Çağrısı Üzerinden Komut Enjeksiyonu

Apache Struts

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
9 Eki 2026
Açık yaşı
3837 gün
Kaydı açan
redhat
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 8 Eki 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 11 Eki 2026.

Yönetici özeti

Kurumunuzun kullandığı bazı Apache Struts tabanlı web uygulamaları dışarıdan ele geçirilebilir; açığın aktif olarak istismar edildiği bilinmektedir. Başarılı bir saldırı sunucunun tamamen kontrolünün kaybına ve veri ihlaline yol açabilir. Etkilenen sistemlerin belirlenip gecikmeden güncellenmesi veya riskli özelliğin kapatılması gerekir.

ÖzetTürkçe

Apache Struts 2.3.19–2.3.20.2, 2.3.21–2.3.24.1 ve 2.3.25–2.3.28 sürümlerinde, Dynamic Method Invocation (Dinamik Metot Çağrısı) özelliği etkinken öneki ve zincirleme ifadeler üzerinden komut enjeksiyonu açığı bulunmaktadır. Kimliği doğrulanmamış uzaktan saldırganlar bu açığı kullanarak hedef sistemde rastgele kod çalıştırabilir. Açık, CISA'nın bilinen sömürülen açıklar (KEV) listesinde yer almakta ve herkese açık istismar kodu bulunmaktadır. Etkilenen sürümleri kullanan ve bu özelliği açık bırakan tüm Struts uygulamaları risk altındadır.

Saldırgan ne yapabilir?

Saldırgan, web uygulamasının çalıştığı sunucuda rastgele kod çalıştırarak sistemin tam kontrolünü ele geçirebilir. Bu durum veri gizliliğinin, bütünlüğünün ve hizmet sürekliliğinin kaybına yol açabilir.

Kaynaktaki açıklama (İngilizce)

Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Kullandığınız Apache Struts sürümünü kontrol edin; 2.3.19–2.3.28 aralığındaki sürümler etkilenmektedir. Üretici tarafından yayımlanan düzeltilmiş sürüme güncelleme yapın. Genel öneri
  2. Güncelleme hemen yapılamıyorsa Dynamic Method Invocation özelliğini devre dışı bırakın. Genel öneri
  3. CISA'nın gerekliliğine uygun olarak üretici talimatlarına göre önlemleri uygulayın, varlıkların internete açıklığını değerlendirin; önlem mümkün değilse ürünün kullanımını bırakın. CISA
  4. Etkilenen sistemlerde olası ele geçirilme belirtileri için günlükleri ve süreçleri inceleyin; şüpheli etkinlik varsa olay müdahalesi başlatın. Genel öneri

Ek önlemler

  • Web uygulamasını en az yetkili bir kullanıcı hesabıyla çalıştırın ve sunucudan dışarıya giden bağlantıları kısıtlayın. Genel öneri
  • Envanterinizde Struts kullanan uygulamaları ve sürümlerini düzenli olarak izleyin, bağımlılık taramaları yapın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Apache Struts Sürüm belirtilmemiş –

Kaynaklar13 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.