Kerngegevens
- Leverancier
- Apache
- Producten
- Apache Struts
- Huawei Agile Controller-Campus
- Huawei AnyOffice
- Huawei LogCenter
- Huawei FireHunter6000
- Huawei OceanStor 5300 V3
- Huawei OceanStor 5500 V3
- Huawei OceanStor 5600 V3
- Huawei OceanStor 5800 V3
- Huawei OceanStor 6800 V3
- Soort software
- webserver
- Getroffen versies
- Apache Struts 2.3.19 tot 2.3.20.2, 2.3.21 tot 2.3.24.1, 2.3.25 tot 2.3.28
- Huawei Agile Controller-Campus v100r002c00
- Huawei AnyOffice v200r005c00, v200r006c00
- Huawei LogCenter v100r001c10, v100r001c20
- Huawei FireHunter6000 v100r001c20
- Huawei OceanStor 5300 V3 v300r001, v300r002, v300r003c00, v300r003c10
- Huawei OceanStor 5500 V3 v300r001, v300r002, v300r003c00, v300r003c10
- Huawei OceanStor 5600 V3 v300r001, v300r002, v300r003c00, v300r003c10
- Huawei OceanStor 5800 V3 v300r001, v300r002, v300r003c00, v300r003c10
- Huawei OceanStor 6800 V3 v300r001, v300r002, v300r003c00, v300r003c10
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Zie het advies van de leverancier
- CVE gepubliceerd
- 26 april 2016
- Op de KEV-lijst sinds
- 8 oktober 2026
- Gepubliceerd op LekkenRadar
- 12 oktober 2026
- Laatst gewijzigd bij NVD
- 9 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
Dit lek stamt al uit 2016 en staat sinds oktober 2026 op de lijst van actief misbruikte lekken; het is onlangs aan die lijst toegevoegd. Het zit in Apache Struts en speelt wanneer de functie Dynamic Method Invocation aan staat. Een aanvaller kan via het voorvoegsel 'method:' in een verzoek eigen code laten uitvoeren op de server. Er is een publiek beschikbare exploit.
Wie loopt risico?
Vooral oudere, niet bijgewerkte of niet meer ondersteunde systemen lopen risico, want oude versies krijgen vaak geen updates meer. Het gaat om Apache Struts 2.3.19 tot en met 2.3.28 (in de reeksen 2.3.19 tot 2.3.20.2, 2.3.21 tot 2.3.24.1 en 2.3.25 tot 2.3.28) waarbij Dynamic Method Invocation is ingeschakeld. Ook een aantal Huawei-producten staat in de gegevens als getroffen. Een aanvaller hoeft niet in te loggen en kan het lek via het netwerk misbruiken.
Wat moet je doen?
Ga na of je dit nog gebruikt
Controleer of je ergens Apache Struts draait, ook als onderdeel van andere software, en welke versie dat is. Kijk ook of je een van de genoemde Huawei-producten gebruikt.
Controleer Dynamic Method Invocation
Het lek geldt alleen als Dynamic Method Invocation is ingeschakeld. Kijk in de configuratie van je toepassing of dat bij jou het geval is.
Werk bij volgens de leverancier
Volg het advies van Apache (bulletin S2-032) en installeer de opgeloste versie of patch. Gebruik voor de Huawei-producten het advies van Huawei.
Vervang of schakel het systeem af van internet
Is er geen update beschikbaar of kun je niet bijwerken, vervang het systeem dan of haal het van internet. Beperk in elk geval de toegang tot de toepassing.
Zoek naar sporen van misbruik
Omdat het lek actief wordt misbruikt en er een publieke exploit is, is het verstandig om logbestanden van je webtoepassing te controleren op verdachte verzoeken met 'method:'.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
In Apache Struts 2.3.19 tot en met 2.3.28 kan een aanvaller bij ingeschakelde Dynamic Method Invocation willekeurige code uitvoeren via het voorvoegsel 'method:' in een verzoek. Het probleem hangt samen met geketende expressies (chained expressions). Het is een vorm van commandoinjectie (CWE-77). De aanval verloopt via het netwerk, vereist geen authenticatie en geen handelen van een gebruiker. De CVSS-vector (AC:H) geeft aan dat de aanval enige voorbereiding vraagt. Er zijn publieke exploits, onder meer als module in Metasploit.
CVSS-vector (versie 3.1, basisscore 8,1, bron: NVD)
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-77 · Commandoinjectie (onjuiste neutralisatie van speciale elementen in een opdracht)
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 96,1%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 8 oktober 2026
- Deadline van CISA
- 11 oktober 2026
- Gebruikt door ransomwaregroepen
- Niet bekend