漏洞描述
Apache Struts2框架是一个用于开发Java EE网络应用程序的Web框架。2020年12月08日披露 S2-061 Struts 远程代码执行漏洞,在使用某些tag等情况下可能存在OGNL表达式注入漏洞,从而造成远程代码执行。
从原理上讲,S2-061是对S2-059的绕过,S2-061绕过了加强OGNL的表达式沙盒。从而导致远程代码执行。
漏洞编号
CVE-2020-17530
风险等级
高风险
影响范围
struts 2.0.0 - struts 2.5.25
漏洞复现
通过vulhub搭建好漏洞环境如下:
验证漏洞是否存在:
修复方案
官网已经发布安全补丁,升级到2.5.26版,可修复该漏洞。
https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.26
原文始发于微信公众号(BeFun安全实验室):[漏洞复现]S2-061漏洞复现
特别标注:
本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
- 我的微信
- 微信扫一扫
-
- 我的微信公众号
- 微信扫一扫
-
评论