Apache Struts2 S2-057漏洞

一、漏洞描述

2018年8月23日，Apache Strust2发布最新安全公告，Apache Struts2 存在远程代码执行的高危漏洞，该漏洞由Semmle Security Research team的安全研究员汇报，漏洞编号为CVE-2018-11776（S2-057）。Struts2在XML配置中如果namespace值未设置且（Action Configuration）中未设置或用通配符namespace时可能会导致远程代码执行。

二、漏洞影响面

影响面

确定CVE-2018-11776为高危漏洞。

实际场景中存在一定局限性，需要满足一定条件。

影响版本

Struts 2.3 to 2.3.34

Struts 2.5 to 2.5.16

修复版本

Struts 2.3.35

Struts 2.5.17

三、漏洞验证

本地验证：

https://github.com/ym2011/POC-EXP/tree/master/Struts2/S2-057

在线验证：

http://0day.websaas.com.cn/

详细验证：

https://lgtm.com/blog/apache_struts_CVE-2018-11776

环境搭建：https://downloads.lgtm.com/snapshots/java/apache/struts/apache-struts-7fd1622-CVE-2018-11776.zip

四、修复建议

       官方提供的临时解决方案：当上层动作配置中没有设置或使用通配符namespace时，验证所有XML配置中的namespace，同时在JSP中验证所有url标签的value和action。

目前Apache官方发布新版本（2.3.35或2.5.17版本）中修复了该漏洞，建议更新，下载地址http://archive.apache.org/dist/struts/

你可能喜欢

Apache Struts2 再爆漏洞(ST2-054，ST2-055) 通告

Apache Struts2插件高危漏洞(S2-052)

警惕Apache Struts2最新（CVE-2017-5638,S02-45）漏洞