Uma falha no processamento de multipart em Apache Struts (CVE-2025-64775) pode causar file leak que leva à exaustão de disco e negação de serviço em aplicações afetadas.
Descoberta e escopo
A vulnerabilidade, identificada como CVE-2025-64775, decorre de um vazamento de arquivos durante o processamento de requisições multipart. O problema permite acúmulo descontrolado de arquivos no servidor, potencialmente esgotando o espaço em disco e provocando indisponibilidade de serviços.
Versões afetadas e avaliação
Segundo o comunicado técnico, as faixas afetadas incluem Struts 2.0.0–2.3.37 (EOL), 2.5.0–2.5.33 (EOL), 6.0.0–6.7.0 e 7.0.0–7.0.3. A classificação de severidade informada é “Important” — a exploração não requer autenticação, o que amplia a exposição para aplicações expostas à internet.
Vetor, impacto e sinais de comprometimento
O vetor identificado envolve o envio de requisições multipart malformadas/controle de upload que desencadeiam file leak no servidor. O impacto primário é negação de serviço por exaustão de armazenamento; em consequência as aplicações podem tornar-se não responsivas e requerer restauração operacional. Sinais de exploração incluem aumento repentino e persistente no uso de disco, criação de arquivos temporários incomuns e logs de upload com padrões anômalos.
Mitigações e recomendações
- Atualizar para Struts 6.8.0 ou posterior na linha 6.x, ou para Struts 7.1.1 ou posterior conforme as recomendações do projeto.
- Priorizar patch em aplicações internet-facing e testar atualizações em ambientes de desenvolvimento antes da implantação em produção.
- Como medida temporária, monitorar e alertar para crescimento anômalo de uso de disco e considerar restrições a tamanhos de multipart/uploads até que o patch seja aplicado.
- Revisar rotinas de limpeza de arquivos temporários e políticas de quota em sistemas de arquivos e containers.
Quem deve agir
Desenvolvedores e administradores de aplicações que utilizam o framework Struts devem realizar inventário de versões em produção, priorizar correção em serviços expostos e incluir o CVE-2025-64775 nas janelas de manutenção críticas. Organizações que ainda executam versões EOL enfrentam risco aumentado por ausência de updates anteriores.
Limites das informações públicas
As fontes indicam a existência do patch e as versões recomendadas para atualização, mas não detalham casos públicos de exploração em massa nem indicadores de comprometimento com amostras técnicas. Equipes devem depender de telemetria interna e análise de logs para confirmar exploração localmente.