【漏洞通告】Apache Struts2 远程代码执行漏洞CVE-2023-50164

admin 2023年12月8日20:42:26评论115 views字数 971阅读3分14秒阅读模式
【漏洞通告】Apache Struts2 远程代码执行漏洞CVE-2023-50164

漏洞名称:

Apache Struts2 远程代码执行漏洞(CVE-2023-50164)

组件名称:

Apache Struts2

影响范围:

2.5.0 ≤ Apache Struts2 ≤ 2.5.32

6.0.0 ≤ Apache Struts2 ≤ 6.3.0

漏洞类型:

远程代码执行

利用条件:

1、用户认证:未知

2、前置条件:未知

3、触发方式:远程

综合评价:

<综合评定利用难度>:未知。

<综合评定威胁等级>:高危,能造成远程代码执行。

官方解决方案:

已发布

漏洞分析

【漏洞通告】Apache Struts2 远程代码执行漏洞CVE-2023-50164

组件介绍

Apache Struts2 是一个用于构建企业级 Java Web 应用程序的开源 Web 应用框架。它是 Apache 软件基金会的一个顶级项目,提供了一套功能强大的工具和库,用于简化开发 Web 应用程序的过程。

【漏洞通告】Apache Struts2 远程代码执行漏洞CVE-2023-50164

漏洞简介

2023年12月8日,深瞳漏洞实验室监测到一则Apache Struts2组件存在远程代码执行漏洞(S2-066)的信息,漏洞编号:CVE-2023-50164,漏洞威胁等级:高危。

该漏洞是由于Apache Struts2文件上传逻辑存在缺陷导致,攻击者可以操纵文件上传参数以启用路径遍历,在某些情况下,这可能导致上传可用于执行远程代码执行的恶意文件,最终获取服务器权限。

影响范围

目前受影响的Apache Struts2版本:

2.5.0 ≤ Apache Struts2 ≤ 2.5.32

6.0.0 ≤ Apache Struts2 ≤ 6.3.0

解决方案

【漏洞通告】Apache Struts2 远程代码执行漏洞CVE-2023-50164

官方修复建议

当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:

https://struts.apache.org/download.cgi

【漏洞通告】Apache Struts2 远程代码执行漏洞CVE-2023-50164

深信服解决方案

1.风险资产发现

支持对 Apache Struts2 的主动检测,可批量检出业务场景中该事件的受影响资产情况,相关产品如下:

深信服主机安全检测响应平台CWPP】已发布资产检测方案。

【深信服云镜YJ】已发布资产检测方案。

参考链接

https://cwiki.apache.org/confluence/display/WW/S2-066

时间轴

2023/12/8

深瞳漏洞实验室监测到Apache Struts2官方发布新版本。

2023/12/8

深瞳漏洞实验室发布漏洞通告。

原文始发于微信公众号(深信服千里目安全技术中心):【漏洞通告】Apache Struts2 远程代码执行漏洞CVE-2023-50164

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年12月8日20:42:26
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞通告】Apache Struts2 远程代码执行漏洞CVE-2023-50164https://cn-sec.com/archives/2281468.html

发表评论

匿名网友 填写信息