【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞

admin 2022年4月23日02:36:33评论72 views字数 577阅读1分55秒阅读模式
【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞


漏洞名称:

S2-062 Struts2 OGNL表达式注入漏洞

组件名称:

S2-062 Struts2 OGNL

影响范围:

2.0.0 <= Apache Struts <= 2.5.29

漏洞编号:

CVE-2021-31805

漏洞类型:

远程命令执行

利用条件:

综合评价:

<利用难度>:低

<威胁等级>:高危  能获取服务器权限


#1 漏洞描述

从通报来看,S2-062漏洞可以认为是S2-059和S2-061的延续,由于补丁修复不完整,导致仍然有标签可以实现二次OGNL表达式注入,漏洞影响版本为`Struts v2.0.0-v2.5.29`。

【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞


#2 解决方案

1 将输入参数的值重新分配给某些Struts的标签属性时,始终对其进行验证,不要在值以外的标签属性中使用%{…} 语法引用用户可修改的输入。

2 开启ONGL表达式注入保护。


#3 参考资料

https://struts.apache.org/security/#proactively-protect-from-ognl-expression-injections-attacks-if-easily-applicable



【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞
推 荐 阅 读





【漏洞预警】Spring框架远程命令执行漏洞

多领域实力上榜!锦行科技入选安全牛《中国网络安全行业全景图》


【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞


原文始发于微信公众号(锦行信息安全):【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月23日02:36:33
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞https://cn-sec.com/archives/917177.html

发表评论

匿名网友 填写信息