0x00 漏洞编号

• CVE-2023-34149

0x01 危险等级

• 中危
  

0x02 漏洞概述

Apache Struts2是一个免费、开源的MVC框架，用于创建Java Web应用程序。

0x03 漏洞详情

CVE-2023-34149

漏洞类型：拒绝服务

影响：内存耗尽

简述：Apache Struts2中，先前向XWorkListPropertyAccessor 添加了 autoGrowCollectionLimit，但它只处理setProperty()而不处理getProperty()。如果开发人员已将底层Collection类型字段的CreateIfNull设置为true，可能会由于未正确检查列表边界而导致内存耗尽，造成拒绝服务。

0x04 影响版本

• 2.0.0 <= Apache Struts2 < 2.5.31

• 6.0.0 <= Apache Struts2 < 6.1.2.1

0x05 修复建议

目前官方已发布漏洞修复版本，建议用户升级到安全版本：

https://github.com/apache/struts

原文始发于微信公众号（浅安安全）：漏洞预警 | Apache Struts2拒绝服务漏洞