1 漏洞描述
2018年8月22日，Apache Struts發佈最新的安全公告，漏洞編號為S2-057，CVE編號：CVE-2018-11776。攻擊者利用該漏洞，在一定條件下，該漏洞允許攻擊者遠程執行代碼。故恆安嘉新第一時間發佈預警公告。該漏洞危害程度為高危(High)。
2 影響範圍
受影響版本：
Struts 2.3 - Struts 2.3.34, Struts 2.5 - Struts2.5.16
3 漏洞原理
Struts2是Apache軟件基金會負責維護的一個基於MVC設計模式的Web應用框架開源項目。
當定義XML配置時，如果namespace值未設置且上層動作配置（Action Configuration）中未設置或用通配符namespace時，可能會導致遠程代碼執行；當url標籤未設置value和action值且上層動作未設置或用通配符namespace時，可能會導致遠程代碼執行。
4 漏洞建議
具體修復建議如下：
1、目前官方已發佈補丁，用戶可升級至版本2.3.35或2.5.17。
注：這兩個版本僅僅只是更新了安全補丁，不存在兼容性問題。
2、臨時解決方案：當上層動作配置中未設置或使用通配符namespace時，驗證所有XML配置中的namespace，同時在JSP中驗證所有url標籤的value和action。
分享到:
閱讀更多 軒轅攻防實驗室 的文章
