Apache Struts: Nova Correção de Segurança

Apenas uma semana antes, os desenvolvedores do Apache Struts já haviam liberado uma correção de segurança importante para o Apache Struts, que agora vem seguida de outra correção de mesma importância para uma brecha crítica de segurança neste mesmo framework web. A nova vulnerabilidade sendo fechada é uma combinação de dois problemas: o framework permite ações de mapeamento baseadas em wildcards e quando uma requisição não casa com uma ação, ele tenta carregar um arquivo JSP baseado no nome da ação. Esse nome pode ser tratado como uma expressão OGNL e dessa forma, permitir que um atacante possa executar código java no lado servidor.


Detalhes do problema junto com exemplos já estão disponíveis no aviso de segurança S2-015. É recomendado que os usuários do framework atualizem o mesmo para a versão 2.3.14.3, que já está disponível para download. A atualização verifica que os nomes de ação casam uma expressão regular de [a-z]*[A-Z]*[0-9]*[.\-_!/]* (porém, os administradores podem alterar a referida expressão regular de nomes permitidos via contante no struts.xml) e os desenvolvedores removeram a avaliação dupla do OgnlTextParser. O bug, igual ao anterior, foi descoberto pela Coverity que publicou detalhes sobre o tema em um post de blog.

Saiba Mais:

- Heise Online: Apache Struts gets another important security fix (em Inglês)