【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞

admin 2022年4月23日02:36:33安全漏洞评论20 views577字阅读1分55秒阅读模式
【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞


漏洞名称:

S2-062 Struts2 OGNL表达式注入漏洞

组件名称:

S2-062 Struts2 OGNL

影响范围:

2.0.0 <= Apache Struts <= 2.5.29

漏洞编号:

CVE-2021-31805

漏洞类型:

远程命令执行

利用条件:

综合评价:

<利用难度>:低

<威胁等级>:高危  能获取服务器权限


#1 漏洞描述

从通报来看,S2-062漏洞可以认为是S2-059和S2-061的延续,由于补丁修复不完整,导致仍然有标签可以实现二次OGNL表达式注入,漏洞影响版本为`Struts v2.0.0-v2.5.29`。

【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞


#2 解决方案

1 将输入参数的值重新分配给某些Struts的标签属性时,始终对其进行验证,不要在值以外的标签属性中使用%{…} 语法引用用户可修改的输入。

2 开启ONGL表达式注入保护。


#3 参考资料

https://struts.apache.org/security/#proactively-protect-from-ognl-expression-injections-attacks-if-easily-applicable



【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞
推 荐 阅 读





【漏洞预警】Spring框架远程命令执行漏洞

多领域实力上榜!锦行科技入选安全牛《中国网络安全行业全景图》


【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞


原文始发于微信公众号(锦行信息安全):【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月23日02:36:33
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞 http://cn-sec.com/archives/917177.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: