Hackeři útočí na servery běžící na aplikacích Apache Struts

Apache Struts je open source framework pro tvorbu webových aplikací v Javě. Tento rok, dokonce i tento měsíc, vyšlo několik bezpečnostních záplat. Ty opravovaly někdy i velmi kritické chyby. Aplikace vytvořené v neaktualizovaném frameworku tak mohou být hozenou rukavicí pro útočníky.

Zaměstnanci bezpečnostní firmy Trend Micro se podařilo na čínském underground fóru najít automatizovaný nástroj, který těchto chyb využívá. A jakých verzí se nebezpečí týká?

S2-016 (CVE-2013-2251), opraveno 16. června (Struts 2.3.15.1)
S2-013 (CVE-2013-1966), opraveno 22. března (Struts 2.3.14.1)
S2-009 (CVE-2011-3923), opraveno 22. ledna 2012 (Struts 2.3.1.2)
S2-005 (CVE-2010-1870), opraveno 16. srpna 2010 (Struts 2.2.1)

Pokud provozujete některou z těchto verzí, měli byste nadskočit ze židle. V aktuální verzi, Struts 2.3.15.1, jsou odstraněny některé problémové nástroje. Vyčerpávající informace o tom, jak analytik Noriaki Hayashi nástroj objevil a jak vypadá, naleznete na blogu společnosti.