ทาง Apache เพิ่งออกแพทช์สำคัญสำหรับอุดช่องโหว่ใน Apache Struts 2 ทุกเวอร์ชั่น หลังจากนักวิจัยของบริษัทด้านความปลอดภัยทางไซเบอร์ Semmle พบบั๊กที่เกิดจากกระบวนการตรวจสอบข้อมูลผู้ใช้ที่ไม่เพียงพอบนเฟริมเวิร์กแกนหลักของ Struts
โดยถ้า Apache Struts ใช้ผลลัพธ์ที่ไม่มีเนมสเปซในเวลาเดียวกัน โดยที่แอคชั่นอันก่อนหน้าไม่ได้ตั้งค่า Wild Namespace ไว้ หรือกรณีที่ตั้งค่า alwaysSelectFullNamespace เป็น True (ซึ่งมักถูกตั้งค่าไว้อัตโนมัติเมื่อใช้ปลั๊กอิน Struts Convention) จะเปิดโอกาสให้สามารถใช้แท๊ก URL ที่เป็นช่องโหว่ให้โจมตีระบบได้หลากหลายรูปแบบ
ช่องโหว่ที่เกี่ยวข้องกับภาษา Struts OGNL ที่แฮ็กเกอร์คุ้นเคยเป็นอย่างดี และเคยถูกใช้ในการแฮ็กระบบในอดีตมาแล้วหลายครั้งด้วย จึงแนะนำให้บริษัทที่ใช้เฟรมเวิร์กโอเพ่นซอร์สชื่อดังตัวนี้อัพเดทระบบทันที โดยแนะนำให้ผู้ใช้ Struts 2.3 อัพเดทเป็นเวอร์ชั่น 2.3.35 และผู้ใช้ Struts 2.5 อัพเดทเป็นเวอร์ชั่น 2.5.17 แม้จะไม่ได้ใช้ปลั๊กอินใดๆ ก็ตาม
ทาง Semmle ได้แจ้งช่องโหว่นี้แก่ Apache ตั้งแต่เดือนมิถุนายนที่ผ่านมา จนสามารถออกแพทช์เป็นทางการได้เมื่อวันที่ 22 สิงหาคม ทั้งนี้ Apache กล่าวว่าเวอร์ชั่นที่อัพเดทใหม่จะไม่มีปัญหาด้านการใช้งานกับผู้ใช้รุ่นเดิมแต่อย่างใด
ที่มา : Zdnet
