Registrierungspflichtiger Artikel

Schwachstelle CVE-2017-5638 Sicherheitslücke in Apache Struts 2 Jakarta

Redakteur: Peter Schmitz

Qualys hat eine kritische Sicherheitslücke im Multipart-Parser Jakarta von Apache Struts 2 entdeckt. Die Schwachstelle CVE-2017-5638 ermöglicht bei anfälligen Anwendungen die Ausführung von Schadcode aus der Ferne. Entsprechende Exploits können Angreifer in die Lage versetzen, kritische Daten zu stehlen oder die Kontrolle über Ihre Anwendungsserver zu übernehmen.

Firmen zum Thema

Aufgrund einer Sicherheitslücke im Multipart-Parser Jakarta von Apache Struts 2 sollten Anwender dringend auf die aktuellen Versionen 2.3.32 oder 2.5.10.1 updaten.
Aufgrund einer Sicherheitslücke im Multipart-Parser Jakarta von Apache Struts 2 sollten Anwender dringend auf die aktuellen Versionen 2.3.32 oder 2.5.10.1 updaten.
(Bild: Apache Foundation, Vogel IT-Medien)

Im Multipart-Parser Apache Jakarta wurde eine Sicherheitslücke gefunden, die Remotecodeausführung ermöglicht (CVE-2017-5638). Wird diese Lücke ausgenutzt, könnte ein Angreifer ohne Authentifizierung aus der Ferne die komplette Kontrolle über das betroffene System erlangen.

Das Problem tritt auf, wenn die Software versucht, den HTTP-Header Content-Type zu parsen. Der Entity-Header Content-Type dient dazu, den Medientyp einer Ressource anzugeben. In Anfragen (wie etwa POST oder PUT) teilt der Client dem Server mit, welche Art von Daten übermittelt wird. In den Antworten teilt dann ein Content-Type-Header dem Client mit, welchem Datentyp die zurückgegebenen Inhalte angehören.