Apache Struts 2.0.0 to 2.5.20 forced double OGNL evaluation, when evaluated on raw user input in tag attributes, may lead to remote code execution.

Apache Struts 2.0.0 ～ 2.5.20 の強制二重 OGNL 評価が、タグ属性の raw ユーザー入力で評価された場合、リモートコードの実行を引き起こす可能性があります。

根據標籤屬性中的原始使用者輸入評估時，Apache Struts 2.0.0 至 2.5.20 會強制雙重 OGNL 評估，這可能會導致遠端程式碼執行攻擊。

根据标记属性中的原始用户输入进行评估时，Apache Struts 2.0.0 至 2.5.20 中的强制双重 OGNL 评估可能会导致远程代码执行。

The version of F5 Networks BIG-IP installed on the remote host is prior to tested version. It is, therefore, affected by multiple vulnerabilities as referenced in the K35226442 advisory.

  - An access permission override in Apache Struts 2.0.0 to 2.5.20 may cause a Denial of Service when     performing a file upload. (CVE-2019-0233)

  - Apache Struts 2.0.0 to 2.5.20 forced double OGNL evaluation, when evaluated on raw user input in tag     attributes, may lead to remote code execution. (CVE-2019-0230)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートホストにインストールされているApache Strutsのバージョンは、2.5.20以前の2.xです。そのため、以下の複数の脆弱性の影響を受けます。

  - Apache Strutsのフレームワークは、強制されると、IDなどの特定のタグ属性に割り当てられた属性の値の二重評価を実行します。そのため、タグの属性がレンダリングされるときに再び評価される値を渡すことが可能です。これを利用して、巧妙に細工されたリクエストを併用することにより、リモートコード実行（RCE）を引き起こすことが可能です。この問題が適用されるのは、Strutsタグ属性内でOGNL評価を強制する場合、つまり、攻撃者が対応するリクエストを細工することで直接変更できる検証されていない未加工の入力を、評価する式が参照する場合のみです（例：手配可能な従業員をリストする）。攻撃者が、未加工のOGNL式でskillName属性を追加の検証なしに渡せるようなリクエストでskillName属性を変更できると、skillName属性に含まれる指定されたOGNL式は、結果としてタグがレンダリングされるときに評価されてしまいます。2.0.0以降のStrutsで、意図的に二重評価を使用できるようにされました。これは、正しく使用される場合（特定の式の検証された値のみを参照する場合）には便利なツールです。ただし、式で検証されないユーザー入力を参照する場合、悪意のあるコードが挿入される可能性があります。現在対応中ですが、Strutsフレームワークに挿入された式の影響を制限するための緩和策を組み込んでいます。 2.5.22より前のStrutsは、この報告で対処している攻撃ベクトルに対して無防備な状態のままになります。この問題は次と類似しています。S2-029およびS2-036。 （CVE-2019-0230）

  - ゲッターでファイルを露出するアクションに対してファイルのアップロードが実行されると、攻撃者がリクエストを操作して、アップロードされたファイルの作業コピーが読み取り専用に設定される可能性があります。その結果、ファイルに対するその後のアクションはエラーで失敗するようになります。Servletコンテナの一時ディレクトリを読み取り専用に設定し、その後のアップロードアクションが失敗するようにすることも可能です。2.5.22より前のStrutsでは、タイプjava.io.Fileやjava.nio.Fileのスタックからアクセス可能な値（Actionプロパティなど）、およびこれらの標準ライブラリパッケージのその他のクラスは、害を及ぼす可能性のある下層プロパティへのアクセスを拒否するように、 フレームワークによって適切に保護されていません。（CVE-2019-0233）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている F5 Networks BIG-IP のバージョンは、テスト済みバージョンより前です。したがって、K35226442 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Apache Struts 2.0.0 から 2.5.20 へのアクセス権限オーバーライドにより、ファイルアップロードを実行するときにサービス拒否が発生する可能性があります。(CVE-2019-0233)

  - Apache Struts 2.0.0 から 2.5.20 の強制二重 OGNL 評価が、タグ属性の raw ユーザー入力で評価された場合、リモートコードの実行を引き起こす可能性があります。(CVE-2019-0230)

Nessus はこれらの問題をテストしておらず、代わりにアプリケー代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端主機上安裝的 Apache Struts 版本為 2.x 版，或為 2.5.20 及之前的版本。因此，會受到多個弱點影響：

  - Apache Struts 架構在強制執行時，會對指派給特定標籤屬性 (如 id) 的屬性值執行雙重評估，因此可能在轉譯標籤的屬性時，傳遞將再次評估的值。透過特別建構的要求，這可導致遠端程式碼執行 (RCE)。此問題僅適用於在 Struts 標籤屬性內強制執行 OGNL 評估，以及要評估的運算式參照未經驗證的原始輸入 (攻擊者可透過建構對應要求直接修改此輸入) 時。範例：列出可用的員工。如果攻擊者能夠修改要求中的 skillName 屬性，從而在未經進一步驗證的情況下將原始 OGNL 運算式傳送至 skillName 內容，則在將標籤轉譯為要求的結果時，將會評估 skillName 屬性中所提供的 OGNL 運算式。重複評估的機會在於 Struts 2.0.0 以來的設計中，該工具在正確完成後將非常有用，尤其是僅參照給定運算式中經驗證的值。不過，參照運算式中未經驗證的使用者輸入時，可能會插入惡意程式碼。為了持續進行，Struts 架構加入了用於限制插入運算式影響的緩解措施，但 Struts 2.5.22 之前的版本將攻擊向量懸置在開放狀態，本報告已解決此問題。此問題與下列問題類似：S2-029 和 S2-036。 (CVE-2019-0230)

  - 檔案上傳執行為透過 getter 洩漏檔案的動作時，攻擊者可能會操控要求，將上傳檔案的工作複本設定為唯讀。因此，檔案上的後續動作將會失敗並發生一個錯誤。也可能將 Servlet 容器的暫存目錄設為唯讀，如此後續的上傳動作就會失敗。在 Struts 2.5.22 之前的版本中，java.io.File 和 java.nio.File 類型的堆疊可存取值 (例如動作內容) 以及這些標準程式庫套件的其他類別未受到架構的適當保護，無法拒絕存取潛在有害的基礎內容。(CVE-2019-0233)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程主机上安装的 Apache Struts 版本为低于 2.5.20（含）的 2.x。因此，该应用程序受到多个漏洞的影响：

  - 强制使用 Apache Struts 框架时，会对分配给某些标签属性（如 id）的属性值执行双重评估，因此有可能传入一个值，该值将在呈现标签属性时再次评估。通过精心构建的请求，这可导致远程代码执行 (RCE)。仅在有待评估的表达式引用原始且未经验证的输入（攻击者可通过构建相应请求直接修改此输入）时，在 Struts 标签属性内强制执行 OGNL 评估，便会造成此问题。示例：如果攻击者能够修改请求中的 skillName 属性，列出可用的 Employees，从而无需进一步验证即可将原始 OGNL 表达式传递给 skillName 属性，那么在因为该请求而呈现标签时，skillName 属性中包含的已提供 OGNL 表达式就会得以评估。使用双重评估的机会是自 Struts 2.0.0 起的设计使然，如果操作正确，这是一款有用的工具，最引人注意的是，其仅引用给定表达式中经过验证的值。但是，引用表达式中未经验证的用户输入时，可能会注入恶意代码。经过持续努力，Struts 框架中包含变通方案，以限制注入表达式的影响，但在 Struts 2.5.22 之前的版本中，攻击向量暂未解决，本报告对此进行了介绍。此问题类似于：S2-029 和 S2-036。(CVE-2019-0230)

  - 当上传文件至 Action，而 Action 会暴露使用 getter 的文件时，攻击者可能会操纵该请求，从而将上传文件的工作副本设置为只读。因此，无法对该文件执行后续操作，并出现错误。还可能将 Servlet 容器的临时目录设置为只读，从而导致后续上传操作失败。在 Struts 2.5.22 之前的版本中，java.io.File 和 java.nio.File 类型的堆栈可访问值（如 Action 属性）以及这些标准库程序包中的其他类未受到框架的适当保护，以拒绝访问潜在有害的底层属性。(CVE-2019-0233)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

遠端主機上安裝的 F5 Networks BIG-IP 版本為測試版本之前的版本。因此，會受到 K35226442 公告中所提及的多個弱點影響。

  - 執行檔案上傳時，Apache Struts 2.0.0 至 2.5.20 中的存取權限覆寫可能會造成拒絕服務情形。(CVE-2019-0233)

  - 根據標籤屬性中的原始使用者輸入評估時，Apache Struts 2.0.0 至 2.5.20 強制雙重 OGNL 評估可能會導致遠端程式碼執行。(CVE-2019-0230)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 F5 Networks BIG-IP 版本低于测试版本。因此，它受到 K35226442 公告中提及的多个漏洞影响。

  - Apache Struts 2.0.0 至 2.5.20 中的访问权限覆盖漏洞可能会在执行文件上传时造成拒绝服务。(CVE-2019-0233)

  - 根据标记属性中的原始用户输入进行评估时，Apache Struts 2.0.0 至 2.5.20 中的强制双重 OGNL 评估可能会导致远程代码执行。(CVE-2019-0230)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The version of Apache Struts installed on the remote host is 2.x prior or equal to 2.5.20. It is, therefore, affected by multiple vulnerabilities:

  - The Apache Struts frameworks, when forced, performs double evaluation of attributes' values assigned to     certain tags attributes such as id so it is possible to pass in a value that will be evaluated again when     a tag's attributes will be rendered. With a carefully crafted request, this can lead to Remote Code     Execution (RCE). The problem only applies when forcing OGNL evaluation inside a Struts tag attribute, when     the expression to evaluate references raw, unvalidated input that an attacker is able to directly modify     by crafting a corresponding request.Example:List available EmployeesIf an attacker is able to modify the     skillName attribute in a request such that a raw OGNL expression gets passed to the skillName property     without further validation, the provided OGNL expression contained in the skillName attribute gets     evaluated when the tag is rendered as a result of the request.The opportunity for using double evaluation     is by design in Struts since 2.0.0 and a useful tool when done right, which most notably means only     referencing validated values in the given expression. However, when referencing unvalidated user input in     the expression, malicious code can get injected. In an ongoing effort, the Struts framework includes     mitigations for limiting the impact of injected expressions, but Struts before 2.5.22 left an attack     vector open which is addressed by this report. This issue is similar to: S2-029 and S2-036. (CVE-2019-0230)

  - When a file upload is performed to an Action that exposes the file with a getter, an attacker may     manipulate the request such that the working copy of the uploaded file is set to read-only. As a result,     subsequent actions on the file will fail with an error. It might also be possible to set the Servlet     container's temp directory to read only, such that subsequent upload actions will fail. In Struts prior     to 2.5.22, stack-accessible values (e.g. Action properties) of type java.io.File and java.nio.File as well     as other classes from these standard library packages are not properly protected by the framework to deny     access to potentially harmful underlying properties. (CVE-2019-0233)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
112766	Apache Struts 2.x < 2.5.22 Remote Code Execution (S2-059)	Web App Scanning	Component Vulnerability	4/29/2021	2/1/2022	critical
112766	Apache Struts 2.x < 2.5.22 のリモートコード実行 (S2-059)	Web App Scanning	Component Vulnerability	4/29/2021	2/1/2022	critical
112766	Apache Struts 2.x < 2.5.22 遠端程式碼執行弱點 (S2-059)	Web App Scanning	Component Vulnerability	4/29/2021	2/1/2022	critical
112766	Apache Struts 2.x < 2.5.22 远程代码执行 (S2-059)	Web App Scanning	Component Vulnerability	4/29/2021	2/1/2022	critical
184328	F5 Networks BIG-IP : Apache Struts vulnerabilities (K35226442)	Nessus	F5 Networks Local Security Checks	11/3/2023	5/7/2024	critical
139607	Apache Struts 2.x <= 2.5.20の複数の脆弱性	Nessus	Misc.	8/14/2020	12/6/2022	critical
184328	F5 Networks BIG-IP : Apache Struts の脆弱性 (K35226442)	Nessus	F5 Networks Local Security Checks	11/3/2023	5/7/2024	critical
139607	Apache Struts 2.x <= 2.5.20 多個弱點	Nessus	Misc.	8/14/2020	12/6/2022	critical
139607	Apache Struts 2.x <= 2.5.20 多个漏洞	Nessus	Misc.	8/14/2020	12/6/2022	critical
184328	F5 Networks BIG-IP：Apache Struts 弱點 (K35226442)	Nessus	F5 Networks Local Security Checks	11/3/2023	5/7/2024	critical
184328	F5 Networks BIG-IP：Apache Struts 漏洞 (K35226442)	Nessus	F5 Networks Local Security Checks	11/3/2023	5/7/2024	critical
139607	Apache Struts 2.x <= 2.5.20 Multiple Vulnerabilities	Nessus	Misc.	8/14/2020	12/6/2022	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical