CVE-2026-104711
Beschreibung
Unsachgemäße Neutralisierung spezieller Elemente, die in einer Sprachanweisung ("Expression Language Injection") in Apache Struts verwendet werden. Wenn die Anwendung so konfiguriert ist, dass sie den alten RESTful-Aktionsmapper verwendet, kann eine erstellte Anforderung einen OGNL-Ausdruck einfügen, der zu einer Remotecodeausführung führen kann. Struts 7 ist nur betroffen, wenn die OGNL-Erlaubnisliste deaktiviert ist; sie ist standardmäßig aktiviert. Anwendungen, die den Standard-Aktionsmapper, den Restful2-Mapper oder das Struts REST-Plugin verwenden, sind nicht betroffen. Dieses Problem betrifft Apache Struts: von 2.0.0 bis 2.3.37, von 2.5.0 bis 2.5.33, von 6.0.0 bis 6.11.0, von 7.0.0 bis 7.3.0. Benutzern wird empfohlen, auf Version 6.12.0 oder 7.4.0 zu aktualisieren, wodurch das Problem behoben wird.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Apache Software Foundation struts.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.