1 漏洞描述
2018年8月22日，Apache Struts发布最新的安全公告，漏洞编号为S2-057，CVE编号：CVE-2018-11776。攻击者利用该漏洞，在一定条件下，该漏洞允许攻击者远程执行代码。故恒安嘉新第一时间发布预警公告。该漏洞危害程度为高危(High)。
2 影响范围
受影响版本：
Struts 2.3 - Struts 2.3.34, Struts 2.5 - Struts2.5.16
3 漏洞原理
Struts2是Apache软件基金会负责维护的一个基于MVC设计模式的Web应用框架开源项目。
当定义XML配置时，如果namespace值未设置且上层动作配置（Action Configuration）中未设置或用通配符namespace时，可能会导致远程代码执行；当url标签未设置value和action值且上层动作未设置或用通配符namespace时，可能会导致远程代码执行。
4 漏洞建议
具体修复建议如下：
1、目前官方已发布补丁，用户可升级至版本2.3.35或2.5.17。
注：这两个版本仅仅只是更新了安全补丁，不存在兼容性问题。
2、临时解决方案：当上层动作配置中未设置或使用通配符namespace时，验证所有XML配置中的namespace，同时在JSP中验证所有url标签的value和action。
分享到:
閱讀更多 軒轅攻防實驗室 的文章
