【漏洞预警】Struts 2 被爆远程命令执行漏洞 S2-045【转】

发表于2017年3月7日由rande

漏洞概述

Apache Struts 2被曝存在远程命令执行漏洞，漏洞编号为S2-045，CVE编号CVE-2017-5638，在使用基于Jakarta插件的文件上传功能时可能存在远程命令执行，导致系统被入侵，漏洞评级为高危。

漏洞详情

  • 漏洞编号：S2-045
  • CVE编号：CVE-2017-5638

攻击者可在上传文件时通过修改HTTP请求头中的Content-Type值来触发该漏洞，进而执行系统命令

影响范围

  • 风险等级：高风险
  • 漏洞风险：攻击者通过利用漏洞可以实现远程命令执行
  • 影响版本：Struts 2.3.5-Struts 2.3.31、Struts 2.5-Struts 2.5.10
  • 安全版本：Struts 2.3.32、Struts 2.5.10.1

修复建议

  1. 如您正在使用Jakarta文件上传插件或者是存在漏洞的Struts 2版本请升级至Struts2安全版本
  2. 使用Servlet过滤器验证Content-Type丢弃不匹配的请求multipart/form-data

参考

此条目发表在漏洞攻击分类目录。将固定链接加入收藏夹。