ثغرة حقن أوامر في Apache Struts تتطلب تطبيق التحديثات الأمنية فوراً

نظرة عامة على الثغرة

يحتوي Apache Struts على ثغرة حقن أوامر مسجلة برقم CVE-2016-3081 تسمح للمهاجمين عن بُعد بتنفيذ أكواد عشوائية على الأنظمة المتأثرة. يمكن استغلال الثغرة من خلال آلية method:prefix عند تفعيل Dynamic Method Invocation في إعدادات التطبيق. تتيح هذه الثغرة للمهاجمين غير المصادق عليهم حقن وتنفيذ أوامر ضارة عن بُعد، مما يشكل خطراً كبيراً على تطبيقات الويب المبنية على إصدارات Struts المعرضة للخطر.

المخاطر على المؤسسات الخاضعة للتنظيم

تواجه المؤسسات التي تشغّل تطبيقات مبنية على Apache Struts تعرضاً فورياً لهجمات تنفيذ الأكواد عن بُعد. لا تتطلب الثغرة أي مصادقة، مما يجعلها خطيرة بشكل خاص للتطبيقات المتصلة بالإنترنت الشائعة في القطاعات المصرفية والصحية والحكومية. قد يؤدي الاستغلال الناجح إلى اختراق كامل للنظام وانتهاكات للبيانات وعدم الامتثال التنظيمي.

الاستجابة المطلوبة

يجب على المؤسسات تطبيق التحديثات والإجراءات الوقائية المقدمة من البائع دون تأخير. ينبغي على المؤسسات إجراء جرد لجميع عمليات نشر Apache Struts وتقييم تعرضها للإنترنت وترتيب أولويات التحديث بناءً على المخاطر. في حال عدم توفر إجراءات وقائية، يجب فصل التطبيقات المتأثرة عن الشبكة أو إيقافها. تتطلب تطبيقات Struts المستضافة سحابياً التنسيق مع مزودي الخدمة لضمان تطبيق التحديثات. يجب على المؤسسات غير القادرة على التحديث فوراً تطبيق ضوابط تعويضية ومراقبة الأنظمة المتأثرة لرصد علامات الاستغلال.