CISA zaradila starú chybu Apache Struts do katalógu zneužívaných zraniteľností
CISA pridala CVE-2016-3081 v Apache Struts do katalógu KEV. Chyba umožňuje vzdialené spustenie kódu pri zapnutej funkcii Dynamic Method Invocation.
Americká agentúra CISA 8. októbra 2026 zaradila CVE-2016-3081 v Struts do katalógu Known Exploited Vulnerabilities (KEV). Zaradenie znamená, že CISA eviduje zneužívanie tejto starej zraniteľnosti Apache Struts v reálnych útokoch, nielen jej teoretickú existenciu.
Chyba sa týka starších vetiev frameworku Apache Struts používaného v Java aplikáciách. Za určitých podmienok môže útočník na diaľku vykonať ľubovoľný kód na zasiahnutom systéme. Kľúčovou podmienkou je zapnutá funkcia Dynamic Method Invocation (DMI).
CVE-2016-3081 v Struts vyžaduje zapnuté DMI
Podľa advisória Apache je problém spojený so spracovaním prefixu method:. Ak aplikácia používa zraniteľnú konfiguráciu a má zapnuté Dynamic Method Invocation, útočník môže túto funkciu zneužiť na vzdialené spustenie kódu.
Apache uvádza ako zasiahnuté vetvy Struts 2.3.20 až 2.3.28, s výnimkou vydaní, ktoré už obsahujú opravu. Dodávateľ odporúča jednu z dvoch ciest:
- vypnúť Dynamic Method Invocation,
- prejsť na verziu 2.3.20.3, 2.3.24.3 alebo 2.3.28.1.
Pre zraniteľnosť je dlhodobo verejne dostupný aj exploitový modul v nástroji Metasploit. Dostupnosť hotového exploitu znižuje technickú bariéru pre pokusy o zneužitie, najmä pri internetovo dostupných a neudržiavaných aplikáciách.
Kontrola starších aplikácií Apache Struts
Prevádzkovatelia historických nasadení by mali bezodkladne overiť konkrétnu verziu Struts aj konfiguráciu DMI. Samotná prítomnosť staršej vetvy ešte podľa dostupných informácií neznamená automatickú zneužiteľnosť: rozhodujúce je aj to, či je Dynamic Method Invocation v aplikácii zapnuté.
Zaradenie CVE-2016-3081 v Struts do KEV však mení prioritu riešenia pre prostredia, ktoré túto kombináciu používajú. CISA pri položkách v katalógu požaduje riadiť sa mitigáciami dodávateľa; v tomto prípade sú známe opravené vydania aj konfiguračná mitigácia.
CISA vo verejnom zázname neuvádza, kto chybu zneužíva, proti akým organizáciám útoky smerovali ani ich rozsah. Nie je preto potvrdené, či ide o novú útočnú vlnu, alebo o neskoro zdokumentované historické zneužívanie.
Ďalšie informácie môžu priniesť prípadné technické detaily od CISA alebo bezpečnostných firiem, napríklad indikátory kompromitácie, údaje o kampani či spresnenie dotknutých nasadení.
Zdroje
- CISA Known Exploited Vulnerabilities Catalog – CISA zaradila CVE-2016-3081 do KEV a uvádza požiadavku riadiť sa mitigáciami dodávateľa.
- Apache Struts S2-032 – Potvrdzuje podmienku Dynamic Method Invocation, možnosť vzdialeného vykonania kódu, zasiahnuté verzie a odporúčané opravy alebo vypnutie funkcie.
- NIST National Vulnerability Database – Koroboruje identifikátor CVE a technický opis zraniteľnosti v starších vetvách Apache Struts.
- Exploit Database – Dokumentuje verejne dostupný vzdialený exploitový modul pre CVE-2016-3081.
Overené a aktualizované: 09. 10. 2026 06:23
