Apache Struts存在重大層級的RCE漏洞，已有攻擊者試圖找出存在弱點的應用程式

12月11日Apache基金會針對Java應用框架Struts提出警告，指出此框架存在重大層級的漏洞CVE-2024-53677，起因是檔案上傳邏輯錯誤，導致攻擊者能夠用來路徑穿越，從而遠端執行任意程式碼（RCE），CVSS風險評分為9.5（滿分10分），影響2.0.0至2.3.37版、2.5.0至2.5.33版，以及6.0.0至6.3.0.2版Struts，Apache基金會發布6.4.0版修補，他們呼籲套用新版程式，並遷移至新的檔案上傳機制。事隔不到一週，傳出這項漏洞疑似出現嘗試利用的跡象。

12月15日資安研究機構SANS提出警告，他們在14日偵測到IP位址169.150.226[.]162嘗試掃描這項漏洞的跡象，研究人員也對於漏洞公布更多細節。

SANS指出，一旦攻擊者利用這項漏洞，就有機會將檔案上傳到受到管制的資料夾，若是他們將Web Shell上傳到網站的根目錄，就有機會遠端執行任意程式碼。

對於Apache基金會在資安公告裡提及，CVE-2024-53677與一年前公布的CVE-2023-50164相當類似的情況，SANS指出，CVE-2024-53677很有可能是前一次修補不全造成，而且已有公開的概念性驗證（PoC）程式碼，他們也發現有人將這些程式碼用於積極利用漏洞的情況。

值得留意的是，SANS提及攻擊者不光利用CVE-2024-53677，很有可能還利用另一個與上傳有關的弱點。不過，他們並未透露這項弱點的CVE編號。