На прошлой неделе эксперты рассказали о новом RCE-баге, обнаруженном в составе Apache Struts 2. Уязвимость получила идентификатор CVE-2018-11776 и представляет опасность для версий от Struts 2.3 до 2.3.34, от Struts 2.5 до 2.5.16, а также, возможно, для более старых вариаций фреймворка.

Для уязвимости уже были выпущены патчи (Struts 2.3.35 и 2.5.17), и помимо них существуют временные способы решения проблемы, но разработчики настоятельно рекомендовали пользователям не рисковать и обновиться.

Дело в том, что эксперты компании Semmle, обнаружившие баг, уже опубликовали PoC-эксплоит на GitHub, а также представили достаточное техническое описание проблемы. После этого в сети появились еще несколько эксплоитов (1234) и едва ли не пошаговое описание их использования.

В итоге, как и предполагали специалисты, атаки на новую проблему не заставили себя ждать. Компании Greynoise Intelligence и Volexity зафиксировали первые сканирования в поисках уязвимых установок еще на прошлой неделе, но первые фактические атаки произошли позавчера, 27 августа 2018 года.

Исследователи сообщают, что злоумышленники атакуют Apache Struts 2 в самых разных уголках географии. Вредоносная активность преимущественно исходит с четырех IP-адресов, очевидно, являющихся частью одного ботнета: 192.173.146.40, 202.189.2.94, 182.23.83.30 и 95.161.225.94. Причем это не первый раз, когда эксперты обнаруживают, что эти IP-адреса участвуют в сканированиях интернета.

Атакующие используют проблему CVE-2018-11776 для установки на скомпрометированные машины майнера CNRig, загружаемого из репозитория BitBucket.

Так как данной уязвимости не подвержены установки Struts с настройками по умолчанию, эксперты отмечают, что масштабы атак и компрометации, к счастью, нельзя назвать крупными.

Оставить мнение