Soporte técnico
Documentación
Inicio de sesión
Contáctenos
Ir directamente al resumen generado por IA de esta entrada del blog 
Principales conclusiones
- Una nueva vulnerabilidad crítica (CVE-2024-53677) afecta a Apache Struts 2.5.33, una versión que no recibirá un parche oficial de Apache.
- Seguir ejecutando versiones EOL como la 2.5.33 deja sus aplicaciones expuestas a los atacantes.
- Endless Lifecycle Support (ELS) de TuxCare ofrece parches continuos para EOL Struts 2.5.33, lo que garantiza una protección continua sin una migración forzada y costosa.
Apache Struts es un marco de aplicaciones web de código abierto utilizado habitualmente por las empresas para el desarrollo de aplicaciones web Java a gran escala. Su popularidad se debe a su flexibilidad y a su arquitectura MVC (Modelo-Vista-Controlador), así como a su probada experiencia en el soporte de servicios de misión crítica en áreas tan conocidas como las finanzas, la administración pública, la sanidad y las telecomunicaciones.
Sin embargo, esa popularidad la hace igualmente atractiva para los atacantes. Cada vez que se encuentra una vulnerabilidad de seguridad crítica, los que no parchean se convierten rápidamente en presa fácil. El riesgo es aún mayor hoy en día porque muchas empresas todavía utilizan Apache Struts 2.5.33, que llegó al final de su vida útil (EOL) en diciembre de 2023, lo que significa que la Apache Software Foundation ya no proporciona parches de software para las vulnerabilidades recién descubiertas.
En este artículo, analizaremos las vulnerabilidades recientes de Apache Struts, exploraremos los peligros de ejecutar versiones no compatibles como la 2.5.33 y aprenderemos a enfocar el proceso de gestión de vulnerabilidades de forma que garantice que sus aplicaciones más antiguas estén a salvo de ciberataques y cumplan con los marcos normativos.
Vulnerabilidades recientes de Apache Struts y sus soluciones
Recientemente han aparecido dos vulnerabilidades críticas de Struts, lo que pone de relieve la urgente necesidad de una sólida estrategia de aplicación de parches de ciberseguridad.
50164
Con una puntuación CVSS muy alta de 9,8, este fallo afecta a muchas versiones de Apache Struts. Se trata de una vulnerabilidad de path traversal que permite a un atacante manipular indebidamente los parámetros de carga de archivos para introducir un archivo malicioso en una ubicación no prevista por el desarrollador y desencadenar la ejecución remota de código. Se solucionó mediante una actualización de seguridad en las versiones 2.5.33 y 6.3.0.2.
53677
Otro fallo crítico en la lógica de carga de archivos del marco, con su propia puntuación CVSS de horror. Un atacante remoto no autenticado podría atravesar la ruta del sistema y subir archivos maliciosos. Hay muchas versiones vulnerables afectadas por esta CVE, incluyendo la 2.5.33, pero este fallo fue corregido en la actualización de seguridad para la versión 6.4.0.
Un vistazo a los CVE
|
ID de la CVE |
Gravedad (puntuación CVSS v3 |
Impacto |
Versiones afectadas |
|
53677 |
9,8 Crítico |
Ejecución remota de código (mediante carga de archivos/travesía de rutas) |
2.0.0 antes de 6.4.0 |
|
50164 |
9,8 Crítico |
Ejecución remota de código (mediante carga de archivos/travesía de rutas) |
Antes de 2.5.33 o 6.3.0.2 |
|
5638 |
9,8 Crítico |
Ejecución remota de código (a través de un encabezado Content-Type manipulado en la carga de archivos) |
2.3.x antes de 2.3.32 y 2.5.x antes de 2.5.10.1 |
La filtración de Equifax: Una lección sobre la seguridad de Struts
Para muchos, el nombre Apache Struts trae a la mente uno de los ciberataques más infames de la historia: la filtración de datos de Equifax en 2017. La brecha se produjo porque Equifax no parcheó una vulnerabilidad crítica en Apache Struts. Este incidente es un ejemplo de lo que puede ocurrir con la seguridad de una organización cuando no se corrigen vulnerabilidades críticas.
La causa raíz era CVE-2017-5638, una vulnerabilidad RCE (ejecución remota de código) en la función de carga de archivos de Struts. La Apache Software Foundation publicó una solución en marzo de 2017 junto con un claro aviso de seguridad. Equifax, sin embargo, no aplicó el parche, dejando así la puerta abierta a ataques en línea por parte de actores maliciosos.
Fuente: NVD (CVE-2017-5638)
Las consecuencias fueron asombrosas. Los piratas informáticos aprovecharon esta vulnerabilidad de ciberseguridad para acceder a los datos personales de más de 147 millones de personas, incluidos números de la Seguridad Social, fechas de nacimiento y direcciones. Equifax tuvo que hacer frente a indemnizaciones millonarias, costes legales y gastos de reparación, por no mencionar el daño irreparable a su reputación.
Ignorar un parche de seguridad es un riesgo demasiado grande como para correrlo. Demuestra que, aunque su proveedor proporcione un parche, es el usuario quien tiene la responsabilidad de implantarlo a tiempo. Y ahora, en un panorama de ciberseguridad en el que cada día se descubren nuevas vulnerabilidades, los riesgos no hacen sino aumentar cuando el software llega al final de su vida útil y deja de recibir nuevos parches.
Riesgos de ejecutar Apache Struts 2.5.33 (EOL)
Mientras que la brecha de Equifax y las recientes vulnerabilidades críticas demuestran la importancia de los parches, la preocupación inmediata para los usuarios de Apache Struts 2.5.33 es el riesgo continuo y futuro. A partir de abril de 2024, la rama Apache Struts 2.5.x ha llegado oficialmente al final de su vida útil, por lo que la versión 2.5.33 es un framework sin soporte.
Este estatus de EOL crea un peligroso reto de seguridad y de negocio:
Sin parches oficiales
Sin soporte oficial, cualquier nueva vulnerabilidad descubierta en Apache Struts 2.5.33 permanece sin un parche emitido por la Apache Software Foundation. Si aparece una vulnerabilidad crítica, como los recientes fallos de ejecución remota de código, las aplicaciones permanecen expuestas sin un parche de primera parte, dejándolas indefinidamente vulnerables.
Los atacantes atacan los sistemas heredados
Los ciberdelincuentes saben que el software heredado y obsoleto es fruta al alcance de la mano. Buscan activamente fallos conocidos en marcos de trabajo antiguos, confiando en que muchas organizaciones no aplicarán las correcciones. Como resultado, las aplicaciones sin parches se convierten en objetivos principales de una ciberamenaza.
Para obtener información sobre los riesgos que conlleva el fin de la vida útil (EOL) de Apache CXF y sobre cómo los marcos de servicios web obsoletos exponen a las API a amenazas similares, consulta nuestra guía detallada.
Selecciones de expertos: Qué leer a continuación
- [EOL ≠ RIP ] Aprenda cómo los atacantes explotan sistemas operativos de código abierto sin parches.
- ¿Estás ejecutando una versión no compatible de un runtime, librería, aplicación o sistema operativo? A continuación te explicamos cómo mantenerte seguro con TuxCare.
- CentOS Stream frente a CentOS Linux: Sepa cuándo tiene sentido migrar y cuándo no.
- Detenga las pesadillas de cumplimiento antes de que empiecen: Descubra cómo estar preparado para las auditorías cuando su sistema operativo llegue al final de su vida útil.
Cumplimiento y riesgos normativos
Las organizaciones en áreas bien conocidas afectadas por normativas populares (por ejemplo, PCI DSS, HIPAA o SOC 2) se enfrentan a graves consecuencias cuando utilizan software no soportado. Estas normas exigen que las organizaciones mantengan sistemas seguros y actualizados y una política de seguridad bien documentada. Una vulnerabilidad conocida y sin parches puede provocar fallos en las auditorías, multas considerables y daños a la reputación.
Los costes ocultos de la inseguridad
Ejecutar una aplicación insegura cuesta más que el riesgo de una brecha debida a vulnerabilidades potenciales. A menudo, los equipos de desarrollo se ven obligados a abandonar proyectos innovadores para ocuparse de correcciones de emergencia, lo que aumenta la deuda técnica y hace que las futuras migraciones sean más complejas y costosas. Esto significa que para los equipos que no pueden realizar una migración costosa y perjudicial, una solución alternativa probada ya no es opcional, sino esencial.
Soporte del ciclo de vida infinito de TuxCare para Apache Struts 2.5.33
Para las organizaciones que no pueden permitirse una migración inmediata, costosa y perjudicial, los riesgos de seguridad del software EOL y las posibles vulnerabilidades que puede introducir pueden resultar abrumadores. Endless Lifecycle Support (ELS) de TuxCare para Apache Struts proporciona una forma segura y fiable de mantener la seguridad y el cumplimiento de su aplicación.
El ELS de TuxCare es un servicio de nivel empresarial que prolonga la vida de sus implantaciones de Apache Struts 2.5.33 proporcionando actualizaciones de seguridad continuas mucho después de la fecha oficial de EOL. TuxCare supervisa las nuevas vulnerabilidades, desarrolla parches y los envía directamente a sus sistemas.
Las principales ventajas de este planteamiento son:
Seguridad continua
TuxCare proporciona parches de seguridad rápidos y respaldados por SLA para los nuevos CVE que surgen en el marco Apache Struts 2.5.33. Esto garantiza que su aplicación permanezca protegida frente a las amenazas más recientes durante todo el tiempo que necesite.
Compatibilidad preservada
Cada actualización de seguridad se prueba exhaustivamente para que funcione a la perfección con el código y las dependencias existentes. Esto elimina el riesgo de una aplicación inestable o rota que a menudo viene con una migración compleja y forzada a una versión más reciente.
Evita migraciones costosas y perturbadoras
ELS elimina la presión de una migración urgente y lenta. Permite a sus equipos centrarse en el desarrollo mientras planifican futuras actualizaciones en sus propios términos, sin dejar entretanto lagunas de seguridad en su infraestructura crítica.
Permanezca en su versión final de la vida - con seguridad
Endless Lifecycle Support (ELS) sigue enviando parches de seguridad para las herramientas de código abierto no compatibles de su pila, desde tiempos de ejecución y bibliotecas hasta sistemas operativos y aplicaciones.
Proteja su Apache Struts con TuxCare
Utilizar un marco de trabajo en fase de fin de vida útil, como Apache Struts 2.5.33, supone un riesgo calculado, ya que deja a su empresa expuesta a vulnerabilidades sin parchear, al incumplimiento normativo y a la posibilidad de sufrir una filtración grave. Con el enfoque adecuado, no tiene por qué elegir entre la seguridad y la estabilidad operativa.
Endless Lifecycle Support de TuxCare para Apache Struts ofrece una solución segura, fiable y rentable. Proporciona los parches de seguridad esenciales que sus aplicaciones necesitan, permitiéndole mantener la integridad sin el proceso perturbador y a menudo inviable de una migración a gran escala.
No deje que un marco heredado se convierta en el próximo gran problema de seguridad de su organización. Tome las riendas de su seguridad y disfrute de la tranquilidad que aporta la asistencia continua y experta.
