- Aktif istismar
- CWE-502
CVE-2017-9805
Apache Struts REST Eklentisinde Güvenilmeyen Veriyle Serileştirme Açığı Uzaktan Kod Çalıştırmaya Yol Açabiliyor
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 3329 gün
- Kaydı açan
- apache
ÖzetTürkçe
Apache Struts 2.1.1 ile 2.3.34 öncesi 2.3.x sürümlerinde ve 2.5.13 öncesi 2.5.x sürümlerinde bulunan REST Eklentisi, XStream örneğiyle birlikte bir XStreamHandler kullanarak serileştirmeyi tür filtrelemesi olmadan gerçekleştirmektedir. Bu durum, XML yüklerinin serileştirmesi kaldırılırken uzaktan kod çalıştırmaya yol açabilir.
Kaynaktaki açıklama (İngilizce)
The REST Plugin in Apache Struts 2.1.1 through 2.3.x before 2.3.34 and 2.5.x before 2.5.13 uses an XStreamHandler with an instance of XStream for deserialization without any type filtering, which can lead to Remote Code Execution when deserializing XML payloads.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Struts | Sürüm belirtilmemiş | – |
Kaynaklar14 kaynak
- CVE.org kaydı
- NVD kaydı
- tools.cisco.com/…iscoSecurityAdvisory/cisco-sa-20170907-struts2 Üretici bülteni
- kb.cert.org/vuls/id/112992 Üçüncü taraf
- exploit-db.com/exploits/42627 İstismar kodu ya da analiz
- oracle.com/…rity-advisory/alert-cve-2017-9805-3889403.html Diğer
- struts.apache.org/docs/s2-052.html Diğer
- securitytracker.com/id/1039263 Diğer
- securityfocus.com/bid/100609 Diğer
- bugzilla.redhat.com/show_bug.cgi Diğer
- blogs.apache.org/…ation/entry/apache-struts-statement-on-equifax Diğer
- lgtm.com/blog/apache_struts_CVE-2017-9805 Diğer
- cwiki.apache.org/confluence/display/WW/S2-052 Diğer
- security.netapp.com/advisory/ntap-20170907-0001 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.