漏洞通告Struts2远程代码执行漏洞通告(S2-057)

Posted 2021-04-28 青藤实验室

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了漏洞通告Struts2远程代码执行漏洞通告(S2-057)相关的知识，希望对你有一定的参考价值。

1.综述

Struts2是一个基于MVC设计模式的Web应用框架，它本质上相当于一个servlet，在MVC设计模式中，Struts2作为控制器(Controller)来建立模型与视图的数据交互。

Struts2 中存在远程代码执行漏洞，当上层操作配置没有namespace或通配符配置namespace时，如果基础xml配置中未设置namespace值或者使用没有value和action设置的url标签，可能导致远程代码执行。

2.漏洞概述

漏洞类型：远程代码执行漏洞

危险等级：危急

利用条件：Struts2在受影响版本内

受影响版本： Struts 2.3 - Struts 2.3.34，Struts 2.5 - Struts 2.5.16

3.漏洞编号

CVE-2018-11776 Struts2远程代码执行漏洞（S2-057）

4.漏洞描述

5.修复建议

安装官方补丁升级到最新版本：2.3.35 或 2.5.17。

临时解决方法：

当上层操作配置没有namespace或通配符配置namespace时，验证所有xml配置中的namespace，以及所有url标签的value和action。

6.即时检测

青藤云安全在漏洞爆出的第一时间，就已检测出该威胁并通知相关客户。

具体产品的使用方法：点击左侧的风险发现-漏洞检测进行检测。

参考链接：

https://cwiki.apache.org/confluence/display/WW/S2-057

以上是关于漏洞通告Struts2远程代码执行漏洞通告(S2-057)的主要内容，如果未能解决你的问题，请参考以下文章