Apache Struts 2是世界上最流行的Java Web服务器框架之一。

 

然而在Struts 2上发现存在高危安全漏洞(CVE-2017-5638,S02-45),该漏洞影响到:Struts 2.3.5 - Struts 2.3.31,Struts 2.5 - Struts 2.5.10

Apache Struts 2被曝存在远程命令执行漏洞,漏洞编号S2-045,CVE编号CVE-2017-5638,在使用基于Jakarta插件的文件上传功能时,有可能存在远程命令执行,导致系统被黑客入侵。 

 

漏洞编号:CVE-2017-5638

漏洞等级:HIGH

漏洞名称:S2-045:Struts 2远程执行代码漏洞

漏洞影响:基于Jakarta Multipart解析器执行文件上传时可能的RCE

影响版本:Struts 2.3.5 - Struts 2.3.31

                    Struts 2.5 - Struts 2.5.10

漏洞描述  
恶意用户可在上传文件时通过修改HTTP请求头中的Content-Type值来触发该漏洞,进而执行系统命令。 
 
 
漏洞利用条件和方式:  
黑客通过Jakarta 文件上传插件实现远程利用该漏洞执行代码。  

 

修补方案:

                  升级到Struts 2.3.32或Struts 2.5.10.1

                   Struts 2.3.32下载地址:

                https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.3.32

                  Struts 2.5.10.1下载地址: https ://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.10.1                           

 

应用到此环境的尽快升级