Eine Lücke im Web-Applikation-Framework Apache Struts 2, in Verbindung mit dem Jakarta Multipart Parser, ermöglicht Angreifern die Remote Code Execution (RCE). Es gibt einen Patch, der die Lücke schließt, es gibt aber auch eine Reihe öffentlicher Exploits, die ungepatchte Installationen vermehrt angreifen, warnen Sicherheitsexperten.
Betroffen von der kritischen Sicherheitslücke sind Versionen Apache Struts 2.3.5 bis 2.3.31 und 2.5 bis 2.5.10. Die zur Verfügung stehenden Versionen 2.3.32 und 2.5.10.1 schließen die Lücke, die durch den standardmäßig genutzten Jakarta-Parser entsteht.
Sicherheitsexperten, etwa von Ciscos Talos, beobachten trotz der vorhandenen sicheren Versionen eine wachsende Zahl von Angriffen über zwei öffentlich zugängliche Exploits. Da über die Lücke aus der Ferne Code mit den jeweiligen Nutzerrechten ausgeführt werden kann, seien die Angriffe vielfältiger Natur, sie reichen vom Abschalten der Firewall zur Vorbereitung weiterer Aktionen, etwa DoS-Attacken. Ein Update sei dringend erforderlich, raten die Experten, auch wenn dies im Fall von Struts nicht ganz trivial sei, weil je nach Programmierung auch jede einzelne Applikationen betroffen sei.
Die Lücke wird unter CVE-2017-5638 geführt. Zusätzliche Erklärungen zum Problem finden sich etwa von Metasploit auf deren Github-Seite.
