9.8Kritisch
KEV
CVE-2012-0391Apache Struts 2 Improper Input Validation Vulnerability
Bekannt ausgenutzt — Apache Struts 2 Improper Input Validation Vulnerability
CISA hat am 21.01.2022 bestätigt, dass diese Schwachstelle in echten Angriffen genutzt wird. Frist für US-Bundesbehörden: 21.07.2022.
Erforderliche Maßnahme: Apply updates per vendor instructions. https://nvd.nist.gov/vuln/detail/CVE-2012-0391
Beschreibung
The ExceptionDelegator component in Apache Struts before 2.2.3.1 interprets parameter values as OGNL expressions during certain exception handling for mismatched data types of properties, which allows remote attackers to execute arbitrary Java code via a crafted parameter.
Schwachstellentyp (CWE):
CWE-94
Daten: CVE.org, NVD, CISA KEV, FIRST EPSS, Ubuntu. Wiedergegeben wie in der Quelle, auf Englisch.
Betroffene Produkte und Versionen
Referenzen und Patches
- 18329 exploitExploit
- 20120105 SEC Consult SA-20120104-0 :: Multiple critical vulnerabilities in Apache Struts2 mailing-listBroken LinkExploit
- http://struts.apache.org/2.x/docs/version-notes-2311.html Vendor Advisory
- http://struts.apache.org/2.x/docs/s2-008.html Vendor Advisory
- https://www.sec-consult.com/files/20120104-0_Apache_Struts2_Multiple_Critical_Vulnerabilities.txt Broken LinkExploit
- https://issues.apache.org/jira/browse/WW-3668 Vendor Advisory
- 47393 third-party-advisoryVendor Advisory
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2012-0391 US Government Resource
CPE-Treffer (NVD) (1)
cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*< 2.2.3.1