CVE-2016-3081: Apache Struts Command Injection, actief misbruikt

Beschrijving

Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions.

CVSS 3.1-ontleding

Attack vectorNetwork

Attack complexityHigh

Privileges requiredNone

User interactionNone

ScopeUnchanged

ConfidentialityHigh

IntegrityHigh

AvailabilityHigh

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Getroffen producten

Apache Struts≥ 2.3.20 < 2.3.20.3 · ≥ 2.3.21 < 2.3.24.3 · ≥ 2.3.25 < 2.3.28.1

Huawei Anyofficev200r005c00 · v200r006c00

Huawei Logcenterv100r001c10 · v100r001c20

Oracle Flexcube Private Banking12.0.1 · 12.0.3 · 12.1.0 · 2.0.0.0

Oracle Micros Retail Xbri Loss Prevention10.0.1 · 10.5.0 · 10.6.0 · 10.7.0

Oracle Siebel E-billing7.1

Huawei Agile Controller-campus Firmwarev100r002c00

Huawei Firehunter6000 Firmwarev100r001c20

Huawei Oceanstor 18500f Firmwarev300r001 · v300r002 · v300r003c00 · v300r003c10

Huawei Oceanstor 18500 V3 Firmwarev300r001 · v300r002 · v300r003c00 · v300r003c10

Huawei Oceanstor 18800f Firmwarev300r001 · v300r002 · v300r003c00 · v300r003c10

Huawei Oceanstor 18800 V3 Firmwarev300r001 · v300r002 · v300r003c00 · v300r003c10

Huawei Oceanstor 5300 V3 Firmwarev300r001 · v300r002 · v300r003c00 · v300r003c10

Huawei Oceanstor 5500 V3 Firmwarev300r001 · v300r002 · v300r003c00 · v300r003c10

Huawei Oceanstor 5600 V3 Firmwarev300r001 · v300r002 · v300r003c00 · v300r003c10

Huawei Oceanstor 5800 V3 Firmwarev300r001 · v300r002 · v300r003c00 · v300r003c10

Huawei Oceanstor 6800 V3 Firmwarev300r001 · v300r002 · v300r003c00 · v300r003c10

Huawei Oceanstor 9000 Firmwarev100r001c01 · v100r001c30 · v300r005c00

Huawei Oceanstor N8500 Firmwarev200r001c09spc505 · v200r001c91spc205 · v200r001c91spc900 · v200r001c91spc901

Huawei Oceanstor Onebox Firmwarev100r003c10

Herstel

Opgelost in

Apache Struts≥ 2.3.20.3

Patch- & leveranciersadviezen

Referenties

http://packetstormsecurity.com/files/136856/Apache-Struts-2.3.28-Dynamic-Method-Invocation-Remote-Code-Execution.htmlExploitThird Party Advisory
https://struts.apache.org/docs/s2-032.htmlPatchVendor Advisory
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2016-3081US Government Resource
https://www.exploit-db.com/exploits/39756/ExploitThird Party AdvisoryVDB Entry
http://www.huawei.com/en/psirt/security-advisories/huawei-sa-20160527-01-struts2-enThird Party Advisory
http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.htmlPatchThird Party Advisory
http://www.oracle.com/technetwork/security-advisory/cpuoct2016-2881722.htmlThird Party Advisory
http://www.rapid7.com/db/modules/exploit/linux/http/struts_dmi_execThird Party AdvisoryBroken Link
http://www.rapid7.com/db/modules/exploit/multi/http/struts_dmi_execThird Party Advisory
http://www.securityfocus.com/bid/87327Third Party AdvisoryVDB Entry

en nog 2 referenties

Gerelateerde CVE's

Recente ernstige kwetsbaarheden met hetzelfde zwakhedentype.

Veelgestelde vragen

Wordt CVE-2016-3081 actief misbruikt?

Ja. CVE-2016-3081 staat in de CISA KEV-catalogus, toegevoegd op 8 okt 2026.

Hoe ernstig is CVE-2016-3081?

CVE-2016-3081 heeft een CVSS 3.1-basisscore van 8.1, beoordeeld als hoog. EPSS schat een exploitkans van 96.1%.

Welke producten zijn getroffen door CVE-2016-3081?

Getroffen producten zijn onder meer Apache Struts, Huawei Anyoffice, Huawei Logcenter, Oracle Flexcube Private Banking, Oracle Micros Retail Xbri Loss Prevention, en nog 15 andere.

Hoe verhelp ik CVE-2016-3081?

Werk getroffen software bij naar een opgeloste versie, bijvoorbeeld Apache Struts 2.3.20.3 of later, en controleer daarna dat er geen getroffen versies meer in uw inventaris staan.

Hoe Secuno hiermee omgaat

Secuno correleert kwetsbaarheden zoals CVE-2016-3081 dagelijks tegen de werkelijke software-inventaris op elk beheerd apparaat. In plaats van een statische ernst wordt elke match in context gescoord: exploitbeschikbaarheid, EPSS, de blootstelling van het asset en bedrijfskriticiteit bepalen de prioriteit. Omdat deze op de CISA KEV-lijst staat, markeert Secuno elk getroffen asset automatisch als topprioriteit. Als een getroffen versie ergens in uw portfolio aanwezig is, verschijnt die automatisch met een geprioriteerd hersteltraject.

Zie hoe prioritering werkt Plan een demo