漏洞预警Struts2又双叒叕出现严重漏洞（S2-053）

Posted 2021-04-28 神月资讯

综述

继2017年9月5日，Apache Struts发布S2-052安全公告，今天，Apache Struts又发布新的安全公告，Apache Struts 2的存在可能远程代码执行的中危漏洞，漏洞编号为CVE-2017-12611（S2-053）。该漏洞源于在处理Freemarker标签时，如果使程序员用了不恰当的编码表达会导致远程代码执行。。

相关链接如下：

https://cwiki.apache.org/confluence/display/WW/S2-053

问题：

在使用Freemarker标签时，如果使程序员用了不恰当的编码表达会导致远程代码执行。 (如下方例子)

<@s.hidden name=“redirecturi” value=redirectUri />

<@s.hidden name=“redirecturi” value=“$ { redirecturi }” >

漏洞作者：

Lupin <lupin1314 at gmail dot com> - jd.com security team

影响版本

Struts 2.0.1 - Struts 2.3.33, Struts 2.5 - Struts 2.5.10 

漏洞等级：

中危

修复方案

1. 用户应避免在Freemarker的结构代码中使用可写的属性，或者使用只读属性来初始化value属性。

2.升级到Upgrade to Struts 2.5.12 or Struts 2.3.34。

参考：

https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.13