高危漏洞预警：Struts2 远程命令执行漏洞(CVE-2018-11776/S2-057)

Posted 2021-04-28 腾讯安全威胁情报中心

2018-08-22 Apache Struts2 官方发布了最新安全公告，披露了一个远程命令执行漏洞（CVE-2018-11776/ S2-057），攻击者可利用该漏洞实施远程命令执行攻击。

黑客可利用Apache Struts2高危漏洞，对采用Apache Struts2框架的企业Web服务器实施入侵，可导致服务器被完全控制、企业敏感信息泄露、植入勒索病毒加密破坏服务器，或利用服务器资源运行挖矿木马等等严重后果。

腾讯御见威胁情报中心对该漏洞进行技术分析后认为，该漏洞较易被利用。建议采用Apache Struts2搭建Web服务器的企业尽快修复，避免服务器被入侵。

漏洞曝光时间：2018-08-22

漏洞风险程度：高危

受漏洞影响软件以及版本：Struts 2.3 - Struts 2.3.34, Struts 2.5 - Struts2.5.16。

缓解或修复方案：
升级struts2 2.3.35 、struts2 2.5.17

下载链接：
Struts 2.3.35 版本：

https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.3.35

Struts 2.5.17 版本：

https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.17

漏洞描述：

漏洞编号：CVE-2018-11776/S2-057:

Structs2部分配置下可造成远程命令执行漏洞，有两种情况可触发命令执行：

1. 使用Struts2框架定义XML配置时，如果namespace值未设置且上层action中namespace值未设置或用通配符时可能会导致远程命令执行。
   
   

2. url标签未设置value和action值且上层action中namespace值未设置或用通配符时可能会导致远程命令执行执行。
   

关于Apache Struts2

Apache Struts2是世界上最流行的Java Web服务器框架之一，被应用于大量企业Web服务器组件当中。

参考链接：
Struts 官方公告：https://cwiki.apache.org/confluence/display/WW/S2-057

.

---