06 мая 2014
В ПО, используемом российскими банками, обнаружена критическая уязвимость
Критическая уязвимость «нулевого дня» обнаружена в популярном решении Apache Struts. С ее помощью злоумышленники имеют возможность манипулировать параметрами ClassLoader и выполнять произвольный код на сервере, который имеет запущенное программное обеспечение Struts. Apache Struts – популярный инструмент разработчиков – является фреймворком с открытым исходным кодом, базирующимся на Java и используемым для создания веб-приложений.
Его применяют как с целью создания крупных интернет-сайтов, так и для приложений, используемых на корпоративном уровне. Помимо этого, Apache Struts применяют и для большинства платежных веб-приложений, к которым относятся и банк-клиенты. В том числе фреймворк используют в ведущих финансовых организациях РФ.
На данный момент для устранения уязвимости создатели Apache Struts разработали специальное обновление «Apache Struts 2.3.16.2».
