W Apache Struts odkryto wysoce krytyczne dziury, pozwalające na zaatakowanie systemu. Jedna z nich to błąd oczyszczania danych wejściowych, umożliwiający wstrzyknięcie i wykonanie dowolnego kodu Javy.

Ponadto klasa CookieInterceptor nieprawidłowo ogranicza dostęp do pewnych metod podczas przetwarzania nazw „ciasteczek“, co pozwala na wykonanie dowolnych komend. Niesprecyzowane dane wejściowe nie są odpowiednio oczyszczane w ParameterInterceptor przed ich użyciem do tworzenia plików. Umożliwia to napastnikowi tworzenie i nadpisywanie dowolnych plików za pośrednictwem techniki directory traversal.

Dziury znaleziono w wersjach wcześniejszych od 2.3.1.1.

Struts to otwarty framework dla aplikacji tworzonych w języku programowania Java. Podstawowymi zastosowaniami Struts są prezentacja danych oraz kontrolowanie danych (widok i kontroler w modelu MVC).

[źródło: www.arcabit.pl]