S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 17 mars 2011 No CERTA-2011-AVI-011-001

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Struts

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

• Struts versions 2.0.0 à 2.1.8.1 ;
• VMware vCenter Orchestrator 4.0 et 4.1.

3 Résumé

Une vulnérabilité dans Struts version 2 permet à un attaquant d'exécuter du code Java à distance.

4 Description

Une erreur dans l'évaluation des paramètres des requêtes au serveur par le module XWork, inclus dans Struts, permet à un attaquant d'exécuter du code arbitraire à distance. Cette vulnérabilité affecte également le logiciel VMware vCenter Orchestrator.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Apache Struts S2-005 du 16 Août 2010 :
  http://struts.apache.org/2.2.1/docs/s2-005.html
• Référence CVE CVE-2010-1870 :
  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1870
• Article KB de Vmware 1034175 du 16 mars 2011 :
  http://kb.vmware.com/selfservice/microsites/search.do?language=en_US&cmd=displayKC&externalId=1034175

Gestion détaillée du document

12 janvier 2011

version initiale.

17 mars 2011

ajout des références concernant VMware vCO.