Vulnerabilidad crítica en Apache Struts2

Apache Software Foundation (ASF) ha publicado una actualización de seguridad para solucionar una vulnerabilidad crítica tanto en la versión final como en la actual de Apache Struts 2. En determinadas condiciones, esta vulnerabilidad podría provocar la ejecución remota de código (RCE)

¿Cuál es la amenaza?

Apache reveló una vulnerabilidad critica en “Apache Struts” identificada como (CVE-2024-53677 con una puntuación de CVSS de 9,5), un popular marco de aplicaciones web basada en Java. La vulnerabilidad se encuentra en el mecanismo de carga de archivos Struts, que afecta a las versiones:

• 2.0.0 a 2.3.37 (final de su vida útil)
• 2.5.0 a 2.5.33. 
• 6.0.0 a 6.3.0.2.

Los atacantes pueden explotar los parámetros de carga de archivos para realizar un recorrido de ruta, lo que les permite cargar archivos maliciosos en directorios restringidos. En ciertos escenarios, esta falla podría resultar en la ejecución remota de código, lo que permite a los atacantes ejecutar códigos arbitrarios, filtrar datos confidenciales o comprometer completamente los sistemas.

¿Por qué es de relevancia?

Apache Struts es fundamental para muchas infraestructuras de TI corporativas, ya que impulsa portales públicos, herramientas de productividad interna y operaciones comerciales críticas. Es conocido por su arquitectura robusta, funciones avanzadas de validación de datos e integración fluida con otras tecnologías, y suele utilizarse en aplicaciones de misión critica a gran escala.

Estos atributos subrayan la importancia de abordar con prontitud los riesgos de seguridad recientemente identificados.

¿Cuál es el riesgo?

CVE-2024-53677 presenta un desafío importante, ya que amplifica los riesgos asociados con la vulnerabilidad. La transición a un nuevo interceptor de carga de archivos extiende la ventana de exposición, lo que requiere actualizar el componente y modificar el código relacionado. Las organizaciones que continúan utilizando el mecanismo de carga de archivos obsoleto seguirán siendo vulnerables.

Estas demoras pueden ser desastrosas para quienes no estén preparados para identificar y abordar los sistemas afectados.

Tres factores hacen que CVE-2024-53677 sea especialmente preocupante:

• La vulnerabilidad es fácilmente automatizable, lo que hace que sea mas sencillo para los atacantes realizar campañas de explotación a gran escala.
• Struts 2 continúa siendo ampliamente utilizado en entornos empresariales, lo que deja vulnerables a cientos de miles de sistemas.
• La temporada navideña a menudo resulta en la operación una reducción de personal y tiempos de respuesta por ende mas lentos, lo que brinda una oportunidad ideal para una explotación exitosa.

Recomendaciones

Se recomienda realizar las siguientes acciones para solucionar las vulnerabilidades:

• Mantengan una lista de materiales de software (SBOM) actualizada para identificar dependencias en Struts2
• Utilice herramientas de análisis de composición de software (SCA) para identificar los componentes afectados y vulnerables.
• Implementa las correcciones recomendadas de Apache y realice la transición al nuevo mecanismo de carga de archivos de acción
• Realice ejercicios de simulación para garantizar la preparación de incidentes futuros.

Empieza a ahorrar con nuestros servicios de ciberseguridad administrados, contáctanos ahora mismo:

• Sitio web: Cobra Networks proveedor de Ciberseguridad en México para las marcas de Barracuda Networks, Censornet, Untangle
• Teléfono: +52(55)5599-0691
• Correo de contacto: ventas@cobranetworks.lat

JR