Technischer Support
Dokumentation
Anmeldung
Kontakt
Gehen Sie direkt zu einer KI-Zusammenfassung dieses Blogbeitrags 
Wichtigste Erkenntnisse
- Eine neue kritische Sicherheitslücke (CVE-2024-53677) betrifft Apache Struts 2.5.33, eine Version, die keinen offiziellen Patch von Apache erhalten wird.
- Wenn Sie weiterhin EOL-Versionen wie 2.5.33 einsetzen, sind Ihre Anwendungen für Angreifer anfällig.
- Der Endless Lifecycle Support (ELS) von TuxCare liefert laufend Patches für EOL Struts 2.5.33 und gewährleistet so einen kontinuierlichen Schutz ohne eine erzwungene, kostspielige Migration.
Apache Struts ist ein Open-Source-Webapplikations-Framework, das von Unternehmen häufig für die Entwicklung umfangreicher Java-Webanwendungen verwendet wird. Es erfreut sich seit langem großer Beliebtheit aufgrund seiner Flexibilität und MVC-Architektur (Model-View-Controller) sowie seiner nachweislichen Erfolge bei der Unterstützung geschäftskritischer Dienste in bekannten Bereichen wie Finanzen, Behörden, Gesundheitswesen und Telekommunikation.
Doch diese Beliebtheit macht sie für Angreifer ebenso attraktiv. Wann immer eine kritische Sicherheitslücke gefunden wird, werden diejenigen, die keine Patches bereitstellen, schnell zur leichten Beute. Das Risiko ist heute sogar noch größer, weil viele Unternehmen immer noch Apache Struts 2.5.33 verwenden, das im Dezember 2023 das End of Life (EOL) erreicht hat - was bedeutet, dass die Apache Software Foundation keine Software-Patches für neu entdeckte Schwachstellen mehr bereitstellt.
In diesem Artikel befassen wir uns mit den jüngsten Apache Struts-Schwachstellen, untersuchen die Gefahren, die mit nicht unterstützten Versionen wie 2.5.33 verbunden sind, und erfahren, wie Sie den Prozess des Schwachstellenmanagements so gestalten können, dass Ihre älteren Anwendungen vor Cyber-Ereignissen geschützt sind und den gesetzlichen Vorschriften entsprechen.
Aktuelle Apache Struts-Sicherheitslücken und ihre Behebungen
Vor kurzem sind zwei kritische Struts-Schwachstellen aufgetaucht, die die dringende Notwendigkeit einer robusten Cybersicherheits-Patching-Strategie verdeutlichen.
50164
Mit einem sehr hohen CVSS-Score von 9.8 betrifft diese Schwachstelle viele Apache Struts-Versionen. Es handelt sich um eine Path-Traversal-Schwachstelle, die es einem Angreifer ermöglicht, durch Manipulation von Dateiupload-Parametern eine bösartige Datei an einen Ort zu schleusen, der vom Entwickler nicht beabsichtigt war, und darüber hinaus Remotecodeausführung auszulösen. Sie wurde durch ein Sicherheitsupdate in den Versionen 2.5.33 und 6.3.0.2 behoben.
53677
Eine weitere kritische Schwachstelle in der Datei-Upload-Logik des Frameworks, mit einem eigenen CVSS-Horror-Score. Ein nicht authentifizierter, entfernter Angreifer könnte einen Systempfad durchlaufen und bösartige Dateien hochladen. Es gibt viele verwundbare Versionen, die von diesem CVE betroffen sind, einschließlich 2.5.33, aber dieser Fehler wurde mit dem Sicherheitsupdate für Version 6.4.0 behoben.
CVEs auf einen Blick
|
CVE-ID |
Schweregrad (CVSS v3 Score) |
Auswirkungen |
Betroffene Versionen |
|
53677 |
9.8 Kritisch |
Entfernte Code-Ausführung (über Dateiupload/Pfadüberquerung) |
2.0.0 vor 6.4.0 |
|
50164 |
9.8 Kritisch |
Entfernte Code-Ausführung (über Dateiupload/Pfadüberquerung) |
Vor 2.5.33 oder 6.3.0.2 |
|
5638 |
9.8 Kritisch |
Remote Code Execution (über manipulierten Content-Type-Header im Dateiupload) |
2.3.x vor 2.3.32 und 2.5.x vor 2.5.10.1 |
Der Equifax-Sicherheitsverstoß: Eine Lektion in Struts-Sicherheit
Viele denken bei dem Namen Apache Struts an einen der berüchtigtsten Cyberangriffe der Geschichte: die Datenschutzverletzung bei Equifax 2017. Die Sicherheitslücke wurde durch das Versäumnis von Equifax verursacht, eine kritische Schwachstelle in Apache Struts zu patchen. Dieser Vorfall steht als Fallstudie dafür, was mit der Sicherheitslage eines Unternehmens passieren kann, wenn kritische Schwachstellen nicht gepatcht werden.
Die Hauptursache war CVE-2017-5638, eine RCE-Schwachstelle (Remote Code Execution) in der Dateiupload-Funktion von Struts. Die Apache Software Foundation veröffentlichte im März 2017 eine Korrektur zusammen mit einem deutlichen Sicherheitshinweis. Equifax versäumte es jedoch, den Patch anzuwenden und ließ damit die Tür für Online-Angriffe durch böswillige Akteure offen.
Quelle: NVD (CVE-2017-5638)
Die Folgen waren erschütternd. Hacker nutzten diese Cybersicherheitslücke aus, um Zugang zu den persönlichen Daten von über 147 Millionen Menschen zu erhalten, darunter Sozialversicherungsnummern, Geburtsdaten und Adressen. Equifax musste Millionenbeträge für Vergleiche, Gerichtskosten und Sanierungskosten aufbringen, ganz zu schweigen von der irreparablen Schädigung seines Rufs.
Ein Sicherheits-Patch zu ignorieren, ist ein zu großes Risiko. Es zeigt, dass der Nutzer die Verantwortung für die rechtzeitige Bereitstellung trägt, selbst wenn der Hersteller ein Patch bereitstellt. Und in einer Cybersicherheitslandschaft, in der täglich neue Schwachstellen entdeckt werden, werden die Risiken nur noch größer, wenn die Software das Ende ihrer Lebensdauer erreicht und keine neuen Patches mehr erhält.
Risiken beim Einsatz von Apache Struts 2.5.33 (EOL)
Während die Sicherheitslücke bei Equifax und die jüngsten kritischen Schwachstellen zeigen, wie wichtig Patches sind, besteht die unmittelbare Sorge für die Benutzer von Apache Struts 2.5.33 in den laufenden und zukünftigen Risiken. Im April 2024 hat der Apache Struts 2.5.x-Zweig offiziell das Ende seiner Lebensdauer erreicht, wodurch Version 2.5.33 zu einem nicht unterstützten Framework wird.
Dieser EOL-Status stellt ein gefährliches Sicherheits- und Geschäftsproblem dar:
Keine offiziellen Patches
Da es keinen offiziellen Support gibt, bleiben alle neuen Sicherheitslücken, die in Apache Struts 2.5.33 entdeckt werden, ohne einen von der Apache Software Foundation herausgegebenen Patch. Wenn eine kritische Schwachstelle auftaucht, wie z. B. die jüngsten Schwachstellen bei der Remote-Code-Ausführung, bleiben die Anwendungen ohne einen First-Party-Fix ungeschützt und damit auf unbestimmte Zeit verwundbar.
Angreifer zielen auf veraltete Systeme
Cyberkriminelle wissen, dass veraltete, auslaufende Software ein leichtes Opfer ist. Sie suchen aktiv nach bekannten Schwachstellen in älteren Frameworks und vertrauen darauf, dass viele Unternehmen keine Korrekturen vornehmen werden. Infolgedessen werden ungepatchte Anwendungen zu bevorzugten Zielen für Cyber-Bedrohungen.
Informationen zu den Risiken im Zusammenhang mit dem Ende der Lebensdauer (EOL) von Apache CXF sowie dazu, wie veraltete Webservice-Frameworks APIs ähnlichen Bedrohungen aussetzen, finden Sie in unserem ausführlichen Leitfaden.
Experten-Tipps: Was Sie als nächstes lesen sollten
- [EOL ≠ RIP] Erfahren Sie, wie Angreifer ungepatchte Open-Source-Betriebssysteme ausnutzen.
- Sie verwenden eine nicht mehr unterstützte Version einer Laufzeitumgebung, Bibliothek, Anwendung oder eines Betriebssystems? Hier erfahren Sie, wie Sie mit TuxCare sicher bleiben.
- CentOS Stream vs. CentOS Linux: Erfahren Sie, wann eine Migration sinnvoll ist und wann nicht.
- Beenden Sie Alpträume über die Einhaltung von Vorschriften, bevor sie beginnen: Erfahren Sie, wie Sie für Audits gerüstet sind, wenn Ihr Betriebssystem das Ende seiner Lebensdauer erreicht.
Compliance und regulatorische Risiken
Organisationen in bekannten Bereichen, die von gängigen Vorschriften (z. B. PCI DSS, HIPAA oder SOC 2) betroffen sind, müssen mit schwerwiegenden Konsequenzen rechnen, wenn sie nicht unterstützte Software einsetzen. Diese Standards verlangen von Unternehmen, dass sie sichere, aktuelle Systeme und eine gut dokumentierte Sicherheitsrichtlinie unterhalten. Eine bekannte, nicht gepatchte Schwachstelle kann zu Prüfungsfehlern, erheblichen Geldstrafen und Rufschädigung führen.
Die versteckten Kosten der Ungewissheit
Der Betrieb einer unsicheren Anwendung kostet mehr als nur das Risiko einer Sicherheitsverletzung aufgrund potenzieller Schwachstellen. Entwicklungsteams werden oft von Innovationsprojekten abgezogen, um Notlösungen zu beheben, was die technischen Schulden erhöht und zukünftige Migrationen komplexer und teurer macht. Das bedeutet, dass für Teams, die keine kostspielige und störende Migration durchführen können, eine bewährte Alternativlösung nicht mehr optional ist - sie ist unerlässlich.
TuxCare's Endless Lifecycle Unterstützung für Apache Struts 2.5.33
Für Unternehmen, die sich eine sofortige, kostspielige und störende Migration nicht leisten können, können die Sicherheitsrisiken von EOL-Software und die potenziellen Schwachstellen, die sie mit sich bringen kann, überwältigend sein. TuxCare's Endless Lifecycle Support (ELS) für Apache Struts bietet eine sichere und zuverlässige Möglichkeit, die Sicherheit und Konformität Ihrer Anwendung zu erhalten.
Der ELS von TuxCare ist ein Enterprise-Grade-Service, der die Lebensdauer Ihrer Apache Struts 2.5.33-Implementierungen verlängert, indem er kontinuierliche Sicherheitsupdates lange nach dem offiziellen EOL-Datum bereitstellt. TuxCare überwacht neue Sicherheitslücken, entwickelt Patches und liefert diese direkt an Ihre Systeme.
Die wichtigsten Vorteile dieses Ansatzes sind:
Kontinuierliche Sicherheit
TuxCare bietet schnelle, SLA-gestützte Sicherheits-Patches für neue CVEs, die im Apache Struts 2.5.33 Framework auftauchen. So bleibt Ihre Anwendung so lange vor den neuesten Bedrohungen geschützt, wie Sie es benötigen.
Bewahrte Kompatibilität
Jedes Sicherheitsupdate wird ausführlich getestet, damit es mit Ihrem vorhandenen Code und Ihren Abhängigkeiten einwandfrei funktioniert. Damit entfällt das Risiko einer instabilen oder fehlerhaften Anwendung, die oft mit einer komplexen, erzwungenen Migration auf eine neuere Version einhergeht.
Vermeidet kostspielige und störende Migrationen
Mit ELS entfällt der Druck einer dringenden, zeitaufwändigen Migration. Ihre Teams können sich auf die Entwicklung konzentrieren, während sie künftige Upgrades zu ihren eigenen Bedingungen planen - ohne in der Zwischenzeit Sicherheitslücken in Ihrer kritischen Infrastruktur zu hinterlassen.
Bleiben Sie auf Ihrer End-of-Life-Version - auf sichere Weise
Endless Lifecycle Support (ELS) sendet weiterhin Sicherheitspatches für Open-Source-Tools in Ihrem Stack, die nicht mehr unterstützt werden - von Laufzeiten und Bibliotheken bis hin zu Betriebssystemen und Anwendungen.
Sichern Sie Ihre Apache Struts mit TuxCare
Der Einsatz eines auslaufenden Frameworks wie Apache Struts 2.5.33 ist ein kalkuliertes Risiko – eines, das Ihr Unternehmen ungeschützten Sicherheitslücken, Verstößen gegen gesetzliche Vorschriften und der Gefahr schwerwiegender Sicherheitsverletzungen aussetzt. Mit dem richtigen Ansatz müssen Sie sich nicht zwischen Sicherheit und Betriebsstabilität entscheiden.
Der Endless Lifecycle Support für Apache Struts von TuxCare bietet eine sichere, zuverlässige und kostengünstige Lösung. Sie liefert die wesentlichen Sicherheitspatches, die Ihre Anwendungen benötigen, und ermöglicht es Ihnen, die Integrität aufrechtzuerhalten, ohne den störenden und oft nicht durchführbaren Prozess einer umfassenden Migration.
Lassen Sie nicht zu, dass ein veraltetes Framework zum nächsten großen Sicherheitsrisiko für Ihr Unternehmen wird. Übernehmen Sie die Kontrolle über Ihre Sicherheit und genießen Sie die Gewissheit eines kontinuierlichen, fachkundigen Supports.
