Vulnerability 121021 - CERT Civis.Net

Vulnerability Name:

CCN-121021

Published:

2017-01-20

Updated:

2017-01-20

Summary:

Apache Struts could allow a remote attacker to execute arbitrary code on the system, caused by an error when devMode (Development Mode) is enabled. An attacker could exploti this vulnerability to execute arbitrary Java (OGNL) code on the system.

CVSS v3 Severity:

5.6 Medium (CCN CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L)
4.9 Medium (CCN Temporal CVSS v3.1 Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L/E:U/RL:O/RC:C)

Exploitability Metrics:	Attack Vector (AV): Network Attack Complexity (AC): High Privileges Required (PR): None User Interaction (UI): None
Scope:	Scope (S): Unchanged
Impact Metrics:	Confidentiality (C): Low Integrity (I): Low Availibility (A): Low

CVSS v2 Severity:

5.1 Medium (CCN CVSS v2 Vector: AV:N/AC:H/Au:N/C:P/I:P/A:P)

Exploitability Metrics:	Access Vector (AV): Network Access Complexity (AC): High Athentication (Au): None
Impact Metrics:	Confidentiality (C): Partial Integrity (I): Partial Availibility (A): Partial

Vulnerability Consequences:

Gain Access

References:

Source: CCN
Type: JVN#92395431
Java (OGNL) code execution in Apache Struts 2 when devMode is enabled

Source: CCN
Type: Apache Struts 2 Documentation
Disable devMode

Source: XF
Type: UNKNOWN
apache-struts-ognl-code-exec(121021)

Vulnerable Configuration:

Configuration CCN 1:

cpe:/a:apache:struts:2.3.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.14.3:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.13:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.14:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.15:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.15.3:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.8:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.7:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.4.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.4:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.3:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.1.2:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.1.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.12:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.14.2:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.14.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.15.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.16:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.15.2:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.16.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.16.2:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.16.3:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.20:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.24:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.24.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.28:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.30:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.5:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.10:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.11:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.12:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.5:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.2:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.8:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.10.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.13:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.14:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.14.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.16:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.20.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.20.3:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.24.3:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.28.1:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.29:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.31:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.32:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.33:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.34:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.6:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.9:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.10:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.11:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.14.3:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.15:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.17:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.19:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.20.2:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.21:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.22:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.23:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.24.2:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.25:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.26:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.3.27:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.16:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.4:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.6:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.7:*:*:*:*:*:*:*

OR cpe:/a:apache:struts:2.5.9:*:*:*:*:*:*:*

Denotes that component is vulnerable