BPOM-CSIRT

Pada tanggal 22 Agustus 2018, Apache Software Foundation mengumumkan sebuah kerentanan remote code execution kritikal dengan kode CVE-2018-11776 pada Apache Struts yang merupakan sebuah framework open source untuk pengembangan aplikasi web dengan menggunakan bahasa pemrograman Java. Aplikasi yang dikembangkan menggunakan Apache Struts berpotensi terdampak kerentanan ini.

Apache Struts merupakan framework yang digunakan secara luas pada berbagai perusahaan di seluruh dunia dengan estimasi bahwa pada 2017, 65% dari perusahaan yang terdaftar dalam Fortune 100 menggunakan aplikasi web yang dibuat menggunakan framework Apache Struts. Selain itu, diperkirakan pada tahun 2018 ini 57% dari pengguna tersebut terus mengembangkan penggunaan Struts yang ditandai dengan aktifitas pengunduhan versi aplikasi ini yang memiliki kerentanan.

Kerentanan pada Apache Struts yang memiliki kemiripan dengan kerentanan yang dijelaskan pada dokumen ini juga pernah ditemukan sebelumnya oleh Semmle pada tahun 2017 dengan kode CVE-2017-9805. Selang beberapa hari setelahnya, perusahaan Equifax mengumumkan kebocoran database mereka yang berisi data personal dari 147 juta pelanggan. Hal ini disebabkan Equifax tidak memasang patch keamanan untuk menutup kerentanan CVE-2017-5638 pada Apache Struts yang dipublikasi sebelumnya pada tahun 2017. Total kerugian Equifax akibat insiden ini diperkirakan lebih dari 600 juta dollar.