Vulnerabilidad en una biblioteca XStream en el Plugin REST en Apache Struts. (CVE-2017-9793)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-20
Validación incorrecta de entrada
Fecha de publicación:
20/09/2017
Última modificación:
20/04/2025
Descripción
El Plugin REST en Apache Struts versiones 2.1.x, versiones 2.3.7 hasta 2.3.33 y versiones 2.5 hasta 2.5.12, está usando una biblioteca XStream obsoleta que es vulnerable y permite realizar un ataque de DoS usando una petición maliciosa con una carga útil XML especialmente diseñada.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Puntuación base 2.0
5.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:apache:struts:2.3.7:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.8:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.9:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.10:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.11:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.12:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.13:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.14:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.14.1:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.14.2:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.14.3:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.15:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.15.1:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.15.2:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:struts:2.3.15.3:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://www.brocade.com/content/dam/common/documents/content-types/security-bulletin/brocade-security-advisory-2017-429.htm
- http://www.oracle.com/technetwork/security-advisory/alert-cve-2017-9805-3889403.html
- http://www.securityfocus.com/bid/100611
- http://www.securitytracker.com/id/1039262
- https://security.netapp.com/advisory/ntap-20180629-0001/
- https://struts.apache.org/docs/s2-051.html
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170907-struts2
- http://www.brocade.com/content/dam/common/documents/content-types/security-bulletin/brocade-security-advisory-2017-429.htm
- http://www.oracle.com/technetwork/security-advisory/alert-cve-2017-9805-3889403.html
- http://www.securityfocus.com/bid/100611
- http://www.securitytracker.com/id/1039262
- https://security.netapp.com/advisory/ntap-20180629-0001/
- https://struts.apache.org/docs/s2-051.html
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170907-struts2