{"id":208479,"date":"2018-08-29T08:21:20","date_gmt":"2018-08-29T06:21:20","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=208479"},"modified":"2023-02-20T08:14:20","modified_gmt":"2023-02-20T07:14:20","slug":"apache-struts-schwachstelle-cve-2018-11776-aktiv-genutzt","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/08\/29\/apache-struts-schwachstelle-cve-2018-11776-aktiv-genutzt\/","title":{"rendered":"Apache Struts-Schwachstelle CVE-2018-11776 aktiv genutzt"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>Kurze Information f\u00fcr Leute, die das Struts 2-Framework unter Apache einsetzen und die Schwachstelle CVE-2018-11776 noch nicht gepatcht haben. Diese Schwachstelle wird wohl aktiv ausgenutzt.<\/p>\n<p><!--more--><\/p>\n<h2>Worum geht es?<\/h2>\n<p>Struts 2-Framework waren von <a href=\"https:\/\/web.archive.org\/web\/20190718093829\/https:\/\/lgtm.com\/blog\/apache_struts_CVE-2018-11776\" target=\"_blank\" rel=\"noopener\">Remote Code Execution (RCE) Schwachstellen<\/a> (CVE-2018-11776) in Struts 2.x bedroht. Zu der Schwachstelle wurde dann ein Security Bulletin <a href=\"https:\/\/cwiki.apache.org\/confluence\/display\/WW\/S2-057\" target=\"_blank\" rel=\"noopener\">S2-057<\/a> mit Details ver\u00f6ffentlicht. Ein Upgrade auf Apache Struts Version 2.3.35 oder 2.5.17 sollte die Schwachstelle schlie\u00dfen. heise.de hatte <a href=\"https:\/\/www.heise.de\/security\/meldung\/Neue-Luecke-in-Apache-Struts-jetzt-patchen-4143524.html\" target=\"_blank\" rel=\"noopener\">diesen Beitrag<\/a> mit ein weiteren Informationen ver\u00f6ffentlicht.<\/p>\n<h2>L\u00fccke wird aktiv ausgenutzt<\/h2>\n<p>Bleeping Computer berichtet <a href=\"https:\/\/web.archive.org\/web\/20221206000050\/https:\/\/www.bleepingcomputer.com\/news\/security\/active-attacks-detected-using-apache-struts-vulnerability-cve-2018-11776\/\" target=\"_blank\" rel=\"noopener\">hier<\/a>, dass es bereits mehrere Proof of Concept (PoC) Scripte gibt, mit denen sich die Schwachstelle CVE-2018-11776 ausnutzen lie\u00dfe. In einem Tweet weist man darauf hin, dass es ein entsprechendes Toolkit g\u00e4be.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"en\">Someone has released a tool for automatically exploiting Apache Struts servers via 3 well-known RCEs:<br \/>\nCVE-2013-2251<br \/>\nCVE-2017-5638<br \/>\nCVE-2018-11776<\/p>\n<p>Surprisingly, CVE-2017-9805 is not on there, despite being more recent and already-existing PoCs<a href=\"https:\/\/t.co\/4qgZJpVbYG\">https:\/\/t.co\/4qgZJpVbYG<\/a> <a href=\"https:\/\/t.co\/6y8vWXlaCE\">pic.twitter.com\/6y8vWXlaCE<\/a><\/p>\n<p>\u2014 Catalin Cimpanu (@campuscodi) <a href=\"https:\/\/twitter.com\/campuscodi\/status\/1034104891826941952?ref_src=twsrc%5Etfw\">27. August 2018<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Zwei Cybersicherheitsfirmen, Greynoise Intelligence und Volexity, meldeten, dass sie seit letzter Woche Bedrohungsakteure entdeckt haben, die nach Struts-Servern suchen (es gab aber noch keine Angriffe).<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"en\">GreyNoise has observed one (1) host (192.173.146.40) opportunistically testing sections of the Internet for the recent Apache Struts vuln (CVE-2018-11776), but no weaponized exploits have been observed yet. We will report when wide scale opportunistic exploitation is observed.<\/p>\n<p>\u2014 GreyNoise Intelligence (@GreyNoiseIO) <a href=\"https:\/\/twitter.com\/GreyNoiseIO\/status\/1033076483080835073?ref_src=twsrc%5Etfw\">24. August 2018<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Das hat sich jetzt aber wohl seit dem 27. August 2018 ge\u00e4ndert, wie Matthew Meltzer, Sicherheitsanalytiker bei Volexity, Bleeping Computer mitteilte. \"Die ersten Angriffsversuche fanden gestern, am 27. August, statt\", so Meltzer. Es werden Scans und Exploit-Versuche auf ziemlich breiter Front \u00fcber eine breite Palette von geografisch verteilten Zielen beobachtet.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p dir=\"ltr\" lang=\"en\">Over the past 24 hours GreyNoise has observed three (3) additional distinct hosts (202.189.2.94, 182.23.83.30, 95.161.225.94) crawl the Internet to test for this vulnerability as well, all using the same tooling. This indicates that these hosts are likely part of the same botnet <a href=\"https:\/\/t.co\/K7tg6mxDEs\">pic.twitter.com\/K7tg6mxDEs<\/a><\/p>\n<p>\u2014 GreyNoise Intelligence (@GreyNoiseIO) <a href=\"https:\/\/twitter.com\/GreyNoiseIO\/status\/1034307042310279168?ref_src=twsrc%5Etfw\">28. August 2018<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Der Sicherheitsanbiete Greynoise best\u00e4tigt diese Beobachtung in obigem Tweet. Es ist also h\u00f6chste Zeit (sofern noch nicht geschehen), seine Apache Struts-Installation zu aktualisieren.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Kurze Information f\u00fcr Leute, die das Struts 2-Framework unter Apache einsetzen und die Schwachstelle CVE-2018-11776 noch nicht gepatcht haben. Diese Schwachstelle wird wohl aktiv ausgenutzt.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4328],"class_list":["post-208479","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/208479","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=208479"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/208479\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=208479"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=208479"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=208479"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}