Worum es geht

Struts ist ein Framework für Java-Anwendungen auf dem Webserver Apache. Ein Angreifer kann eine Schwachstelle in Apache Struts ausnutzen, um Dateien zu manipulieren, vertrauliche Daten offenzulegen oder einen Denial-of-Service-Zustand zu verursachen.

Unter welchen Bedingungen?

Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.

Was schlimmstenfalls passieren kann

Ein Angreifer könnte die Lücke nutzen, um

• Dateien zu manipulieren
• vertrauliche Daten offenzulegen oder einen Denial-of-Service-Zustand zu verursachen

Bin ich betroffen?

Betroffen sind laut BSI:

• Apache Struts <6.1.1
• Atlassian Bamboo <12.1.3 (LTS)
• Atlassian Bamboo <10.2.16 (LTS)
• Atlassian Bamboo <9.6.24 (LTS)

Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.

Was hilft?

Aktualisieren auf mindestens:

• Apache Struts 6.1.1
• Atlassian Bamboo 12.1.3 (LTS)
• Atlassian Bamboo 10.2.16 (LTS)
• Atlassian Bamboo 9.6.24 (LTS)

Wird die Lücke schon ausgenutzt?

Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.