Missing XML Validation vulnerability in Apache Struts, Apache Struts.
This issue affects Apache Struts: from 2.0.0 before 2.2.1; Apache Struts: from 2.2.1 through 6.1.0.
Users are recommended to upgrade to version 6.1.1, which fixes the issue.
Apache Struts versions 2.0.0 through 6.1.0 contain a critical missing XML validation vulnerability (CWE-112) with a CVSS score of 8.1. Attackers can exploit improper XML validation to inject malicious XML content, potentially leading to XML External Entity (XXE) attacks, data exfiltration, or remote code execution. Organizations must upgrade to version 6.1.1 immediately.
تؤثر هذه الثغرة الأمنية على إطار عمل Apache Struts المستخدم على نطاق واسع في تطبيقات الويب المؤسسية. تنشأ الثغرة من عدم التحقق الصحيح من مدخلات XML، مما يسمح للمهاجمين بإرسال بيانات XML معدّة خصيصاً لاستغلال معالج XML. يمكن أن يؤدي هذا إلى هجمات XXE التي تمكّن المهاجمين من قراءة الملفات الحساسة على الخادم، أو تنفيذ طلبات SSRF، أو في بعض الحالات تنفيذ تعليمات برمجية عن بُعد. تشمل الإصدارات المتأثرة نطاقاً واسعاً من 2.0.0 إلى 6.1.0، مما يعني أن العديد من الأنظمة القديمة والحديثة معرضة للخطر. يتطلب الأمر تحديثاً فورياً للإصدار 6.1.1 الذي يعالج هذه الثغرة بشكل كامل.
تحتوي إصدارات Apache Struts من 2.0.0 حتى 6.1.0 على ثغرة حرجة تتعلق بعدم التحقق من صحة XML (CWE-112) بدرجة خطورة 8.1 حسب CVSS. يمكن للمهاجمين استغلال عدم التحقق السليم من XML لحقن محتوى XML ضار، مما قد يؤدي إلى هجمات XML External Entity (XXE) أو سرقة البيانات أو تنفيذ التعليمات البرمجية عن بُعد. يجب على المؤسسات الترقية فوراً إلى الإصدار 6.1.1.
1. Immediately upgrade all Apache Struts installations to version 6.1.1 or later across all production, staging, and development environments, prioritizing internet-facing applications and systems processing sensitive data.
2. Conduct comprehensive vulnerability scans to identify all instances of Apache Struts in your infrastructure, including containerized applications and third-party integrations, and implement network segmentation to isolate vulnerable systems until patching is complete.
3. Enable XML input validation and disable XML external entity processing in application configurations, implement Web Application Firewall (WAF) rules to detect and block malicious XML payloads, and establish continuous monitoring for suspicious XML-related activities in application logs.
1. الترقية الفورية لجميع تثبيتات Apache Struts إلى الإصدار 6.1.1 أو أحدث عبر جميع بيئات الإنتاج والتجهيز والتطوير، مع إعطاء الأولوية للتطبيقات المتصلة بالإنترنت والأنظمة التي تعالج البيانات الحساسة.
2. إجراء فحوصات شاملة للثغرات الأمنية لتحديد جميع حالات Apache Struts في البنية التحتية، بما في ذلك التطبيقات الحاوية والتكاملات مع أطراف ثالثة، وتنفيذ تجزئة الشبكة لعزل الأنظمة المعرضة للخطر حتى اكتمال التصحيح.
3. تفعيل التحقق من صحة مدخلات XML وتعطيل معالجة الكيانات الخارجية XML في تكوينات التطبيقات، وتنفيذ قواعد جدار حماية تطبيقات الويب (WAF) لاكتشاف وحظر حمولات XML الضارة، وإنشاء مراقبة مستمرة للأنشطة المشبوهة المتعلقة بـ XML في سجلات التطبيقات.