Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
Principais conclusões
- Uma nova vulnerabilidade crítica (CVE-2024-53677) afeta o Apache Struts 2.5.33, uma versão que não receberá uma correção oficial da Apache.
- Continuar utilizando versões em fim de vida útil, como a 2.5.33, deixa seus aplicativos vulneráveis a ataques.
- O Suporte de Ciclo de Vida Ilimitado (ELS) da TuxCare oferece correções contínuas para o Struts 2.5.33, que chegou ao fim da vida útil (EOL), garantindo proteção contínua sem a necessidade de uma migração forçada e onerosa.
O Apache Struts é uma estrutura de aplicativos web de código aberto amplamente utilizada por empresas para o desenvolvimento de aplicativos web em Java de grande escala. Sua popularidade duradoura se deve à sua flexibilidade e à arquitetura MVC (Modelo-Visão-Controlador), bem como ao seu histórico comprovado no suporte a serviços de missão crítica em setores reconhecidos, como finanças, governo, saúde e telecomunicações.
No entanto, essa popularidade o torna igualmente atraente para os invasores. Sempre que uma vulnerabilidade crítica de segurança é identificada, aqueles que não aplicam as correções rapidamente se tornam alvos fáceis. O risco é ainda maior hoje, pois muitas empresas ainda utilizam o Apache Struts 2.5.33, que atingiu o fim do ciclo de vida (EOL) em dezembro de 2023 — o que significa que a Apache Software Foundation não fornece mais correções de software para vulnerabilidades recém-descobertas.
Neste artigo, analisaremos as vulnerabilidades recentes do Apache Struts, exploraremos os riscos de utilizar versões sem suporte, como a 2.5.33, e aprenderemos como abordar o processo de gerenciamento de vulnerabilidades de forma a garantir que suas aplicações mais antigas estejam protegidas contra incidentes cibernéticos e em conformidade com os marcos regulatórios.
Vulnerabilidades recentes do Apache Struts e suas correções
Recentemente, foram identificadas duas vulnerabilidades críticas no Struts, o que ressalta a necessidade urgente de uma estratégia robusta de aplicação de patches para a segurança cibernética.
CVE-2023-50164
Com uma pontuação CVSS muito alta, de 9,8, essa falha afeta muitas versões do Apache Struts. Trata-se de uma vulnerabilidade de traversal de caminho que permite, indevidamente, que um invasor manipule parâmetros de envio de arquivos para inserir um arquivo malicioso em um local nunca pretendido pelo desenvolvedor e, posteriormente, provocar a execução remota de código. A falha foi corrigida por meio de uma atualização de segurança nas versões 2.5.33 e 6.3.0.2.
CVE-2024-53677
Outra falha crítica na lógica de envio de arquivos da estrutura, com uma pontuação CVSS de dar arrepios. Um invasor remoto não autenticado poderia realizar o traversal de caminho do sistema e enviar arquivos maliciosos. Há muitas versões vulneráveis afetadas por esse CVE, incluindo a 2.5.33, mas essa falha foi corrigida na atualização de segurança para a versão 6.4.0.
Visão geral das CVEs
|
ID do CVE |
Gravidade (Pontuação CVSS v3) |
Impacto |
Versões afetadas |
|
CVE-2024-53677 |
9,8 Crítico |
Execução remota de código (por meio de upload de arquivo/traversal de caminho) |
2.0.0 antes da versão 6.4.0 |
|
CVE-2023-50164 |
9,8 Crítico |
Execução remota de código (por meio de upload de arquivo/traversal de caminho) |
Antes da versão 2.5.33 ou 6.3.0.2 |
|
CVE-2017-5638 |
9,8 Crítico |
Execução remota de código (por meio de um cabeçalho Content-Type manipulado no envio de arquivos) |
2.3.x antes da versão 2.3.32 e 2.5.x antes da versão 2.5.10.1 |
A violação de dados da Equifax: uma lição sobre segurança no Struts
Para muitos, o nome Apache Struts traz à mente um dos ataques cibernéticos mais notórios da história: a violação de dados da Equifax em 2017. A violação foi causada pela falha da Equifax em corrigir uma vulnerabilidade crítica no Apache Struts. Esse incidente serve como um estudo de caso sobre o que pode acontecer com a postura de segurança de uma organização quando vulnerabilidades críticas não são corrigidas.
A causa principal foi a CVE-2017-5638, uma vulnerabilidade de RCE (Execução Remota de Código) na função de envio de arquivos do Struts. A Apache Software Foundation lançou uma correção em março de 2017, acompanhada de um comunicado de segurança claro. A Equifax, no entanto, não aplicou o patch, deixando assim a porta aberta para ataques online por parte de agentes mal-intencionados.
Fonte: NVD (CVE-2017-5638)
As consequências foram impressionantes. Os hackers exploraram essa vulnerabilidade de segurança cibernética para obter acesso aos dados pessoais de mais de 147 milhões de pessoas, incluindo números de Seguro Social, datas de nascimento e endereços. A Equifax acabou tendo que arcar com milhões em acordos judiciais, custas processuais e despesas de reparação; sem falar no dano irreparável à sua reputação.
Ignorar uma correção de segurança é um risco grande demais para se correr. Isso mostra que, mesmo que o fornecedor disponibilize uma correção, é o usuário quem assume a responsabilidade pela implantação em tempo hábil. E agora, em um cenário de segurança cibernética em que novas vulnerabilidades são descobertas todos os dias, os riscos só aumentam quando o software chega ao fim da vida útil e deixa de receber novas correções.
Riscos da execução do Apache Struts 2.5.33 (fim de vida útil)
Embora a violação de segurança da Equifax e as recentes vulnerabilidades críticas demonstrem a importância da aplicação de patches, a preocupação imediata para os usuários do Apache Struts 2.5.33 é o risco atual e futuro. A partir de abril de 2024, o ramo 2.5.x do Apache Struts atingiu oficialmente o fim do ciclo de vida, tornando a versão 2.5.33 uma estrutura sem suporte.
Esse status de fim de vida útil (EOL) representa um sério desafio para a segurança e os negócios:
Sem patches oficiais
Sem suporte oficial, quaisquer novas vulnerabilidades descobertas no Apache Struts 2.5.33 permanecem sem um patch emitido pela Apache Software Foundation. Se surgir uma vulnerabilidade crítica, como as recentes falhas de execução remota de código, os aplicativos permanecem expostos sem uma correção oficial, ficando vulneráveis por tempo indeterminado.
Os invasores têm como alvo os sistemas legados
Os cibercriminosos sabem que softwares legados e em fim de vida útil (EOL) são alvos fáceis. Eles procuram ativamente por falhas conhecidas em estruturas mais antigas, confiantes de que muitas organizações não aplicarão as correções. Como resultado, os aplicativos sem patches tornam-se alvos privilegiados para ameaças cibernéticas.
Para obter informações sobre os riscos relacionados ao fim da vida útil (EOL) do Apache CXF e sobre como estruturas de serviços web desatualizadas expõem as APIs a ameaças semelhantes, confira nosso guia detalhado.
Sugestões de especialistas: o que ler a seguir
- [EOL ≠ RIP] Saiba como os invasores exploram vulnerabilidades em sistemas operacionais de código aberto sem patches.
- Está usando uma versão sem suporte de um ambiente de execução, biblioteca, aplicativo ou sistema operacional? Veja aqui como se manter seguro com a TuxCare.
- CentOS Stream x CentOS Linux: Saiba quando a migração faz sentido e quando não faz.
- Evite os pesadelos de conformidade antes mesmo que eles comecem: descubra como se manter preparado para auditorias quando seu sistema operacional chegar ao fim da vida útil.
Riscos de conformidade e regulatórios
Organizações em setores conhecidos, afetados por regulamentações amplamente adotadas (por exemplo, PCI DSS, HIPAA ou SOC 2), enfrentam consequências graves ao utilizar software sem suporte. Essas normas exigem que as organizações mantenham sistemas seguros e atualizados, além de uma política de segurança bem documentada. Uma vulnerabilidade conhecida e sem correção pode resultar em reprovação em auditorias, multas substanciais e danos à reputação.
Os custos ocultos da insegurança
Operar um aplicativo inseguro acarreta custos que vão além do risco de uma violação devido a possíveis vulnerabilidades. As equipes de desenvolvimento são frequentemente desviadas de projetos de inovação para lidar com correções de emergência, o que aumenta a dívida técnica e torna as migrações futuras mais complexas e onerosas. Isso significa que, para equipes que não podem realizar uma migração onerosa e disruptiva, uma solução alternativa comprovada não é mais opcional — é essencial.
Suporte de ciclo de vida ilimitado da TuxCare para o Apache Struts 2.5.33
Para organizações que não têm condições de arcar com uma migração imediata, onerosa e que causa interrupções, os riscos de segurança do software em fim de vida útil (EOL) e as possíveis vulnerabilidades que ele pode trazer podem parecer insuperáveis. O Endless Lifecycle Support (ELS) da TuxCare para o Apache Struts oferece uma maneira segura e confiável de manter a segurança e a conformidade do seu aplicativo.
O ELS da TuxCare é um serviço de nível empresarial que prolonga a vida útil de suas implantações do Apache Struts 2.5.33, garantindo a continuidade das atualizações de segurança por um longo período após a data oficial de fim de vida útil (EOL). A TuxCare monitora novas vulnerabilidades, desenvolve patches e os distribui diretamente para seus sistemas.
Os principais benefícios dessa abordagem são:
Segurança contínua
A TuxCare fornece patches de segurança rápidos e respaldados por um SLA para novas vulnerabilidades (CVEs) que surgem na estrutura do Apache Struts 2.5.33. Isso garante que seu aplicativo permaneça protegido contra as ameaças mais recentes pelo tempo que for necessário.
Compatibilidade mantida
Cada atualização de segurança é exaustivamente testada para garantir que funcione perfeitamente com seu código e suas dependências existentes. Isso elimina o risco de um aplicativo instável ou com falhas, que geralmente acompanha uma migração complexa e forçada para uma versão mais recente.
Evita migrações onerosas e que causam interrupções
O ELS elimina a pressão de uma migração urgente e demorada. Ele permite que suas equipes permaneçam focadas no desenvolvimento enquanto planejam futuras atualizações nos seus próprios termos — sem deixar brechas de segurança em sua infraestrutura crítica nesse meio tempo.
Mantenha a sua versão de fim de vida – com segurança
O Suporte de Ciclo de Vida Ilimitado (ELS) continua enviando patches de segurança para ferramentas de código aberto sem suporte em sua pilha de sistemas — desde ambientes de execução e bibliotecas até sistemas operacionais e aplicativos.
Proteja seu Apache Struts com a TuxCare
Utilizar uma estrutura em fim de vida útil, como o Apache Struts 2.5.33, é um risco calculado — que deixa sua empresa exposta a vulnerabilidades sem correção, à não conformidade regulatória e ao risco de uma violação grave. Com a abordagem correta, você não precisa escolher entre segurança e estabilidade operacional.
O Suporte de Ciclo de Vida Ilimitado da TuxCare para o Apache Struts oferece uma solução segura, confiável e econômica. Ele fornece os patches de segurança essenciais de que suas aplicações precisam, permitindo que você mantenha a integridade sem o processo disruptivo e, muitas vezes, inviável de uma migração em grande escala.
Não deixe que uma estrutura legada se torne o próximo grande risco à segurança da sua organização. Assuma o controle da sua segurança e tenha a tranquilidade que só um suporte contínuo e especializado pode oferecer.
