CNCERT:Apache Struts2 Commons FileUpload反序列化远程代码执行漏洞安全公告

安全公告编号:CNTA-2018-0029

2018年11月7日,国家信息安全漏洞共享平台(CNVD)收录了Apache Struts2 Commons FileUpload反序列化远程代码执行漏洞(CNVD-2016-09997,对应CVE-2016-1000031)。攻击者利用该漏洞,可在未授权的情况下远程执行代码。目前,厂商已发布修复漏洞的版本。

一、漏洞情况分析

Struts2是第二代基于Model-View-Controller(MVC)模型java企业web应用框架,成为国内外较为流行的容器软件中间件。

2018年11月5日,Apache Strust2发布最新安全公告,Apache Struts2存在远程代码执行的高危漏洞(CVE-2016-1000031),该漏洞由Tenable研究团队发现。此漏洞为FileUpload 库中的一个高危漏洞,这个库作为Apache Struts 2的一部分,被用作文件上传的默认机制。攻击者可以在未经授权的情况下,执行任意代码并可获取目标系统的所有权限。

CNVD对该漏洞的综合评级为“高危”。

二、漏洞影响范围

目前,漏洞影响的产品版本包括:

Struts 2.5.12以下版本。

三、漏洞处置建议

目前,Apache公司已发布了新版本(Struts 2.5.12及以上版本,包括Commons FileUpload库的修补版本1.3.3)修复了该漏洞,CNVD建议用户及时升级最新版本:

https://issues.apache.org/jira/browse/FILEUPLOAD-279

附:参考链接:

http://www.cnvd.org.cn/flaw/show/CNVD-2016-09997

https://issues.apache.org/jira/browse/FILEUPLOAD-279

声明:本文来自CNVD漏洞平台,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如需转载,请联系原作者获取授权。

原文 

https://www.secrss.com/articles/6262

本站部分文章源于互联网,本着传播知识、有益学习和研究的目的进行的转载,为网友免费提供。如有著作权人或出版方提出异议,本站将立即删除。如果您对文章转载有任何疑问请告之我们,以便我们及时纠正。

PS:推荐一个微信公众号: askHarries 或者qq群:474807195,里面会分享一些资深架构师录制的视频录像:有Spring,MyBatis,Netty源码分析,高并发、高性能、分布式、微服务架构的原理,JVM性能优化这些成为架构师必备的知识体系。还能领取免费的学习资源,目前受益良多

转载请注明原文出处:Harries Blog™ » CNCERT:Apache Struts2 Commons FileUpload反序列化远程代码执行漏洞安全公告

赞 (0)
分享到:更多 ()

评论 0

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址