漏洞描述
近日，亚信安全CERT监测发现Apache官方发布了Apache Struts2的风险通告，漏洞编号为CVE-2021-31805。该漏洞由于对CVE-2020-17530的修复不完整造成的，CVE-2020-17530漏洞是由于Struts2 会对某些标签属性(比如id) 的属性值进行二次表达式解析，因此当这些标签属性中使用了 %{x} 且 其中x 的值用户可控时，用户再传入一个 %{payload} 即可造成OGNL表达式执行。在CVE-2021-31805漏洞中，仍然存在部分标签属性会造成攻击者恶意构造的OGNL表达式执行，导致远程代码执行。
由于官方已经发布安全版本，亚信安全CERT建议广大用户及时将Apache Struts2升级到2.5.30以上最新版本。
Apache Struts 2是一个用于开发Java EE网络应用程序的开放源代码网页应用程序架构。它利用并延伸了Java Servlet API，鼓励开发者采用MVC架构。
漏洞编号
-
CVE-2021-31805
-
S2-062
漏洞等级
-
高危
漏洞状态
|
漏洞细节 |
漏洞PoC |
漏洞EXP |
在野利用 |
|
暂无 |
暂无 |
暂无 |
未发现 |
受影响的版本
-
Apache Struts2 2.0.0 ~ 2.5.29
修复建议
※临时修复建议
-
过滤用户输入的%{...}语法
※升级版本
-
下载并升级至Apache Struts 2.5.30以上版本。下载地址：https://struts.apache.org/download.cgi
亚信安全产品解决方案
亚信安全信桅深度威胁发现设备【TDA】、信舷防毒墙【AISEDGE】已经支持对该漏洞的检测，请用户及时更新规则，以形成安全产品检测和防护能力。
|
产品 |
版本号 |
规则包 版本 |
规则 |
|
TDA |
6.0及以上版本 |
1.0.0.105 |
103003798 101003231 |
|
AISEDGE |
7.0.3.1 |
1.0.0.031 |
103003798 |
参考链接
-
https://seclists.org/oss-sec/2022/q2/37
-
https://cwiki.apache.org/confluence/display/WW/S2-062
原文始发于微信公众号（亚信安全服务）：警惕！Apache Struts2远程代码执行漏洞(CVE-2021-31805)通告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论