Apache Struts 2: Remote Code Execution über Dynamic Method Invocation

Zusammenfassung

Apache Struts 2 in den Versionen 2.3.20 bis 2.3.28 erlaubt entfernten Angreifern, beliebigen Code auf dem Server auszuführen, wenn Dynamic Method Invocation (DMI) aktiviert ist. Die Schwachstelle liegt in der Verarbeitung verketteter Ausdrücke mit dem Präfix method:, daher kann ein präparierte Anfrage ohne Authentifizierung gesendet werden. Auch Huawei-Produkte, die Struts 2 einbetten, sind betroffen. CISA führt die Schwachstelle als bekanntermassen ausgenutzt. Die CPE-Daten im CVE-Eintrag nennen Huawei Agile Controller-campus Firmware, die Quellen identifizieren jedoch Apache Struts 2 als betroffenes Produkt, weshalb die Zuordnung im Asset-Management überprüft werden muss.

Betroffen

• Apache Struts 2.3.20 bis 2.3.28, ausser 2.3.20.3 und 2.3.24.3, wenn Dynamic Method Invocation aktiviert ist (Apache-Advisory S2-032)
• Die NVD-Beschreibung nennt zusätzlich 2.3.19 und bis 2.3.24.1 in den Bereichen; diese Versionen manuell überprüfen
• Huawei-Produkte, die Struts 2 einbetten (Huawei-Advisory huawei-sa-20160527-01); betroffene Versionen unbekannt

Behoben in

• Apache Struts 2.3.20.3
• Apache Struts 2.3.24.3
• Apache Struts 2.3.28.1
• Huawei-Produkte: unbekannt, korrigierte Versionen bei Huawei PSIRT anfordern

Umgehung

• Dynamic Method Invocation deaktivieren: struts.enable.DynamicMethodInvocation in struts.xml auf false setzen und den Webserver neu starten
• Alternative (Entwicklungsaufgabe): eigenen ActionMapper auf Basis des Quellcodes der korrigierten Struts-Versionen implementieren

Ausnutzung

• CISA-Katalog known exploited vulnerabilities: aufgenommen am 2026-10-08
• Öffentlicher Exploit auf Exploit-DB verfügbar, zudem existiert ein Metasploit-Modul
• Keine Authentifizierung erforderlich (PR:N); Angriffskomplexität hoch (AC:H); CISA-SSVC: Ausnutzung aktiv, nicht automatisierbar, technische Auswirkung total

Unsere Empfehlung

• Gesamten Einsatz von Struts 2 inventarisieren, einschliesslich mitgelieferter Komponenten in Appliances von Drittanbietern und Huawei-Produkten
• Auf Struts 2.3.20.3, 2.3.24.3 oder 2.3.28.1 aktualisieren oder, wo möglich, Dynamic Method Invocation deaktivieren
• Bei internet-erreichbaren Systemen Logs sichern und vor dem Patchen auf Anzeichen einer Kompromittierung prüfen, wie von CISA empfohlen
• Für eingebettete Huawei-Produkte korrigierte Versionen bei Huawei PSIRT anfordern
• Webserver-Logs auf Anfragen mit method:-Ausdrücken überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Metasploit-Modul exploit/multi/http/struts_dmi_exec
• Exploit-DB EDB-ID 39756 02.05.2016

Quellen der Recherche

• Apache Struts S2-032 Security Bulletin struts.apache.org
• Huawei PSIRT advisory huawei-sa-20160527-01-struts2-en www.huawei.com
• CISA Known Exploited Vulnerabilities Catalog www.cisa.gov
• NVD CVE-2016-3081 nvd.nist.gov
• Exploit-DB 39756 www.exploit-db.com
• Rapid7 Metasploit module struts_dmi_exec www.rapid7.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:43.