Apache Struts: OGNL-Injection im veralteten RESTful Action Mapper
Zusammenfassung
Apache-Struts-Anwendungen, die den veralteten RESTful Action Mapper verwenden, sind von einer Expression-Language-Injection betroffen (CWE-917). Ein Angreifer kann mit einer manipulierten, nicht authentifizierten HTTP-Anfrage einen OGNL-Ausdruck einschleusen, was zur Remote Code Execution mit den Rechten der Anwendung führen kann. Struts 7 ist nur betroffen, wenn die OGNL-Allowlist deaktiviert ist, was nicht der Standard ist. Anwendungen mit dem Standard-Action-Mapper, dem restful2-Mapper oder dem Struts REST-Plugin sind nicht betroffen.
Betroffen
- Apache Struts 2.0.0 bis 2.3.37 (End of Life)
- Apache Struts 2.5.0 bis 2.5.33 (End of Life)
- Apache Struts 6.0.0 bis 6.11.0
- Apache Struts 7.0.0 bis 7.3.0, nur bei deaktivierter OGNL-Allowlist
- Nur wenn der veraltete RESTful Action Mapper konfiguriert ist
Behoben in
- Apache Struts 7.4.0 oder neuer
- Apache Struts 6.12.0 oder neuer (6.x-Linie)
- Apache Struts 2.x: kein Fix, End of Life; Migration erforderlich
Umgehung
- Auf den Standard-Action-Mapper, den restful2-Mapper oder das Struts REST-Plugin statt des veralteten RESTful Action Mappers wechseln
- Bei Struts 7 die OGNL-Allowlist aktiviert lassen
- Konfiguration auf die Mapper-Klasse des veralteten Mappers (RestfulActionMapper) prüfen
Ausnutzung
- In den geprüften Quellen wurden keine Berichte über Ausnutzung in freier Wildbahn oder öffentliche Proof-of-Concepts gefunden
- Status im CISA-KEV-Katalog nicht geprüft
- EPSS 0.01191 (Vulners)
- CISA-SSVC: automatisierbar ja, technische Auswirkung total
Unsere Empfehlung
- Alle Struts-Anwendungen und deren Versionen sowie die Konfiguration des Action Mappers inventarisieren (zum Beispiel struts2-core in Build-Dateien oder WAR-Dateien)
- Aus dem Internet erreichbare Anwendungen mit dem veralteten Mapper priorisieren
- So rasch als möglich auf 7.4.0 oder 6.12.0 aktualisieren
- Eine Migration weg von Struts 2.x planen oder erweiterten Support beziehen
- Falls das Patchen verzögert wird, vom veralteten Mapper wegwechseln
- Logs auf ungewöhnliche Anfragen an Struts-Endpunkte prüfen und bei exponierten, ungepatchten Systemen eine mögliche Kompromittierung untersuchen
- Die Abweichung zwischen der Bewertung von Apache (Moderate) und dem für die Priorisierung verwendeten CVSS-Wert 9.8 beachten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache S2-075 security bulletin cwiki.apache.org
- oss-security mailing list post www.openwall.com
- OSV record CVE-2026-104711 osv.dev
- Vulners vulnrichment CVE-2026-104711 vulners.com
- Apache Struts project home struts.apache.org
- SentinelOne vulnerability database CVE-2026-104711 www.sentinelone.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.