Apache Struts2远程代码执行漏洞 (CVE-2021-31805) 安全通告

ApacheStruts 2是一个用于开发JavaEE网络应用程序的开放源代码网页应用程序架构。它利用并延伸了JavaServlet API，鼓励开发者采用MVC架构。

近日，奇安信CERT监测到Apache官方发布安全更新，其中修复了Apache Struts2远程代码执行漏洞(CVE-2021-31805)，在某些标签中若后端通过 %{...} 形式对其属性进行赋值，则将对OGNL表达式进行二次解析，从而执行恶意代码，且该漏洞是S2-061的绕过。此漏洞POC、技术细节已公开，经过奇安信CERT研判，此漏洞POC有效。鉴于此漏洞影响范围极大，建议客户尽快做好自查，及时更新至最新版本或采取缓解措施。

奇安信CERT已成功复现Apache Struts2 远程代码执行漏洞(CVE-2021-31805)，复现截图如下:

一、版本升级

目前官方已有可更新版本，用户可升级至 2.5.30 版本：https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.30

二、漏洞缓解措施

1、可通过设置所有标签中 value="" 来缓解此漏洞；

2、将org.apache.commons.collection.BeanMap 添加至 excludedClasses 黑名单中。

[1]https://cwiki.apache.org/confluence/display/WW/S2-062

[2]http://www.openwall.com/lists/oss-security/2022/04/12/6