Struts 1

Die Schwachstelle betrifft die ActionForm-Komponente von Apache Struts 1, einem weit verbreiteten Framework zur Entwicklung von Java-Webanwendungen, in Verbindung mit der Hilfsbibliothek BeanUtils. Der Fehler lässt sich aus der Ferne auslösen, ohne dass eine Anmeldung erforderlich ist. Ein Angreifer sendet dazu ein Formular im Format multipart/form-data – also die Art von Anfrage, wie sie üblicherweise beim Hochladen von Dateien verwendet wird. Der entscheidende Trick liegt im Namen eines Formularparameters: Ist dieser so gewählt, dass er auf eine öffentlich zugängliche interne Methode zur Verarbeitung von Multipart-Anfragen verweist, erhält der Angreifer Zugriff auf interne Bestandteile der Anfrageverarbeitung und der BeanUtils-Bibliothek. Dadurch lässt sich die Anwendung in einen Zustand bringen, in dem sie nicht mehr ordnungsgemäß funktioniert, und es kommt zu einer Dienstblockade. Betroffen sind Webanwendungen, die auf diesem Framework aufsetzen und Formularverarbeitung nutzen.