CVE-2017-5638: RCE in Apache Struts 2

RCE critica in Struts 2 via header HTTP. CVSS 9,8. Versioni 2.3.x < 2.3.32 e 2.5.x < 2.5.10.1.

CVE-2017-5638 è una vulnerabilità di esecuzione remota di codice (RCE) nel parser multipart di Apache Struts 2. La falla riguarda versioni 2.3.x < 2.3.32 e 2.5.x < 2.5.10.1. Un attaccante può sfruttarla inviando header HTTP crafted (Content-Type, Content-Disposition, Content-Length) durante upload di file. Questo consente esecuzione arbitraria di comandi sul server con i privilegi dell'applicazione.

CVSS 9,8 (critical). La vulnerabilità è stata scoperta e sfruttata attivamente a marzo 2017. Patch ufficiali sono disponibili da Apache. Repository GitHub dichiarano di contenere exploit; segnali di interesse persistono nel 2026. Molti sistemi legacy rimangono vulnerabili e rappresentano rischio tangibile per organizzazioni che dipendono ancora da versioni non aggiornate.

Inventariare immediatamente tutti i sistemi con Struts 2 e verificare la versione. Applicare patch a 2.3.32+ o 2.5.10.1+ senza ritardo. Per sistemi legacy non aggiornabili: isolare da reti pubbliche, implementare WAF per filtrare header HTTP anomali durante upload, monitorare log di accesso per richieste sospette. Condurre verifiche post-patching per escludere compromissioni pregresse.

In sintesi

Cosa: CVE-2017-5638 è una vulnerabilità di esecuzione remota di codice nel parser multipart di Apache Struts 2. Riguarda versioni 2.3.x < 2.3.32 e 2.5.x < 2.5.10.1. Un attaccante remoto può sfruttarla inviando header HTTP crafted (Content-Type, Content-Disposition, Content-Length) durante upload di file, causando esecuzione arbitraria di comandi sul server.
Gravità: CVSS 9,8 (critical). Scoperta e sfruttata attivamente a marzo 2017. Patch ufficiali disponibili da Apache. Repository GitHub dichiarano di contenere exploit; segnali di interesse persistono nel 2026. Molti sistemi legacy rimangono vulnerabili.
Versioni interessate: Apache Struts 2 versioni 2.3.x anteriori a 2.3.32 e versioni 2.5.x anteriori a 2.5.10.1.
Correzione: Aggiornare a Struts 2.3.32 o successivo per il branch 2.3, oppure a 2.5.10.1 o successivo per il branch 2.5.
Stato: Patch ufficiali disponibili da novembre 2017. Vulnerabilità pubblica. Segnali su repository GitHub presenti al novembre 2026 indicano interesse continuato e persistenza di codice di attacco accessibile.
Azione: Inventariare sistemi Struts 2 e verificare versione. Applicare patch a 2.3.32+ o 2.5.10.1+ immediatamente. Per legacy non aggiornabili: isolare da reti pubbliche e implementare WAF per filtrare header HTTP anomali durante upload. Monitorare log di accesso per richieste sospette. Condurre verifiche post-patching.

Fonti: NVD, CVE-2017-5638

← Tutti gli articoli