Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-20
  • CWE-755

CVE-2017-5638

Apache Struts 2 Jakarta Multipart ayrıştırıcısında uzaktan kod çalıştırma açığı

Apache Software Foundation Apache Struts

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
3518 gün
Kaydı açan
apache
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022. Fidye yazılımı saldırılarında da kullanılmış.

Yönetici özeti

Bu açık, internetten erişilebilen Struts tabanlı uygulamaların herhangi bir şifre gerekmeden uzaktan ele geçirilmesine izin verir ve CISA tarafından aktif olarak istismar edilen açıklar listesine alınmıştır. Güncelleme yapılmamış sistemlerde veri sızıntısı ve hizmet kesintisi riski yüksektir; yama acilen uygulanmalıdır.

ÖzetTürkçe

Apache Struts 2'nin Jakarta Multipart ayrıştırıcısı, dosya yükleme denemelerinde hataları ve hata mesajlarını yanlış işlemektedir. Saldırgan, özel hazırlanmış Content-Type, Content-Disposition veya Content-Length HTTP başlıklarıyla hhedef sistemde rastgele komut çalıştırabilir. Etkilenen sürümler Struts 2.3.x serisinde 2.3.32 öncesi ve 2.5.x serisinde 2.5.10.1 öncesidir. Açık, Mart 2017'de Content-Type başlığında #cmd= dizisi kullanılarak gerçek saldırılarda istismar edilmiştir.

Saldırgan ne yapabilir?

Kimlik doğrulaması olmadan ağ üzerinden gönderilen tek bir HTTP isteğiyle sunucuda rastgele komut çalıştırılabilir. Bu da sistemin tamamen ele geçirilmesine, veri çalınmasına veya değiştirilmesine ve hizmetin kesintiye uğramasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

The Jakarta Multipart parser in Apache Struts 2 2.3.x before 2.3.32 and 2.5.x before 2.5.10.1 has incorrect exception handling and error-message generation during file-upload attempts, which allows remote attackers to execute arbitrary commands via a crafted Content-Type, Content-Disposition, or Content-Length HTTP header, as exploited in the wild in March 2017 with a Content-Type header containing a #cmd= string.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. Apache Struts'ı 2.3.x serisini kullanıyorsanız 2.3.32 veya üzeri, 2.5.x serisini kullanıyorsanız 2.5.10.1 veya üzeri bir sürüme yükseltin. Genel öneri
  2. CISA'nın gerekli eylemi doğrultusunda güncellemeleri üretici talimatlarına göre uygulayın. CISA
  3. Yükseltme hemen yapılamıyorsa Struts kullanan uygulamaların internete doğrudan erişimini kısıtlayın ve erişimi güvenilir ağlarla sınırlandırın. Genel öneri
  4. Güncellemeden sonra sunucuyu olası bir ele geçirilme açısından kontrol edin; beklenmedik süreçleri, kullanıcıları ve dosyaları inceleyin. Genel öneri

Ek önlemler

  • Web uygulaması günlüklerinde Content-Type başlığında #cmd= gibi şüpheli ifadeler içeren istekleri tarayın. Genel öneri
  • Web uygulama güvenlik duvarı (WAF) kurallarıyla anormal Content-Type, Content-Disposition ve Content-Length başlıklarını içeren istekleri engelleyin. Genel öneri
  • Struts uygulamasını mümkün olan en düşük yetkili bir hizmet hesabıyla çalıştırın. Genel öneri
  • Kurumunuzdaki tüm Struts bağımlılıklarının envanterini çıkarın ve güncel sürümleri düzenli olarak takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Apache Software Foundation Apache Struts Sürüm belirtilmemiş –

Kaynaklar27 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.