Apache Struts 再曝高危远程代码执行漏洞

Semmle 安全研究员 Man Yue Mo 近日 披露 了一个存在于流行的 Apache Struts Web 应用框架中的远程执行代码漏洞,可能允许远程攻击者在受影响的服务器上执行恶意代码。 该漏洞编号为 CVE-2018-11776 ,被归类为高危漏洞,是由于在某些配置下对 Struts 框架核心中用户提供的不可信输入的验证不充分而产生。它会在两种情况下容易被触发:

  • Struts 配置中的 alwaysSelectFullNamespace 标志设置为 true 。

  • Struts 配置文件包含 “action” 或 “url” 标记,该标记未指定可选的 namespace 属性或指定通配符命名空间

Apache Struts 再曝高危远程代码执行漏洞

据悉,使用 Apache Struts 2.3~2.3.34 和 2.5~2.5.16 版本,以及一些已经停止支持的 Struts 版本的所有应用都可能容易受此漏洞攻击,Apache Struts 团队在收到反馈后,已于前两天发布的 2.3.35 和 2.5.17 中进行了修复,并建议用户尽快升级。

这不是 Semmle 安全研究团队第一次报告 Apache Struts 的高危 RCE 漏洞。不到一年前,该团队披露了在 Apache Struts 中类似的 远程执行代码漏洞 (CVE-2017-9805)。

原文 

https://www.cnbeta.com/articles/tech/761009.htm

本站部分文章源于互联网,本着传播知识、有益学习和研究的目的进行的转载,为网友免费提供。如有著作权人或出版方提出异议,本站将立即删除。如果您对文章转载有任何疑问请告之我们,以便我们及时纠正。

PS:推荐一个微信公众号: askHarries 或者qq群:474807195,里面会分享一些资深架构师录制的视频录像:有Spring,MyBatis,Netty源码分析,高并发、高性能、分布式、微服务架构的原理,JVM性能优化这些成为架构师必备的知识体系。还能领取免费的学习资源,目前受益良多

转载请注明原文出处:Harries Blog™ » Apache Struts 再曝高危远程代码执行漏洞

赞 (0)
分享到:更多 ()

评论 0

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址