安全通告
Apache Struts2遠(yuǎn)程代碼執(zhí)行漏洞安全風(fēng)險(xiǎn)通告
發(fā)布日期：2022-4-13
漏洞描述
近日，監(jiān)測(cè)到Apache Struts2遠(yuǎn)程代碼執(zhí)行漏洞在互聯(lián)網(wǎng)上流傳，Apache Struts2 是一個(gè)用于開(kāi)發(fā)Java EE網(wǎng)絡(luò)應(yīng)用程序的開(kāi)放源代碼網(wǎng)頁(yè)程序架構(gòu)。它利用并延伸了Java Servlet API,鼓勵(lì)開(kāi)發(fā)者采用MVC架構(gòu)。由于對(duì)CVE-2020-17530的修復(fù)不完整，導(dǎo)致輸入驗(yàn)證碼不正確。如果開(kāi)發(fā)人員使用%{…}語(yǔ)法應(yīng)用強(qiáng)制OGNL評(píng)估，標(biāo)簽的一些屬性仍然可以執(zhí)行雙重評(píng)估。對(duì)不受信任的用戶(hù)輸入使用強(qiáng)制OGNL評(píng)估可能會(huì)導(dǎo)致遠(yuǎn)程代碼執(zhí)行。
漏洞危害
攻擊者可利用該漏洞進(jìn)行遠(yuǎn)程代碼執(zhí)行
漏洞等級(jí)
高危
受影響版本
Apache Struts2? 2.0.0～2.5.29
不受影響版本
Apache Struts2 >= 2.5.30
修復(fù)方案
根據(jù)影響版本中的信息，排查并升級(jí)到不受影響的版本
臨時(shí)修補(bǔ)建議
避免對(duì)不受信任的用戶(hù)輸入使用強(qiáng)制OGNL評(píng)估
參考鏈接
- https://cwiki.apache.org/confluence/display/WW/S2-062