【漏洞预警】Apache Struts2 远程代码执行漏洞(CVE-2023-50164)

admin 2023年12月8日12:37:02评论86 views字数 768阅读2分33秒阅读模式
  • 0x01 阅读须知


花果山的技术文章仅供参考,此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等(包括但不限于)进行检测或维护参考,未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失,均由使用者本人负责。本文所提供的工具仅用于学习,禁止用于其他!!!
漏洞名称:Apache Struts2 远程代码执行漏洞(CVE-2023-50164
威胁等级:严重
影响范围:2.5.0<=Apache Struts2<=2.5.326.0.0<=Apache Struts2<=6.3.0
漏洞类型:远程代码执行漏洞
利用难度:容易


  • 0x02 漏洞描述


Apache Struts2框架是一个用于开发Java EE网络应用程序的Web框架,它本质上相当于一个servlet,在MVC设计模式中,Struts2作为控制器(Controller)来建立模型与视图的数据交互。近日监测到Apache Struts2发布安全公告,其中公开了一个远程代码执行漏洞,由于文件上传逻辑存在缺陷,可能导致上传可用于执行远程代码执行的恶意文件,该漏洞是由于文件上传逻辑存在缺陷,攻击者可以操纵文件上传参数来启用路径遍历,在某些情况下,这可能导致上传可用于执行远程代码执行的恶意文件。
  • 0x03 漏洞影响


影响范围:2.5.0<=Apache Struts2<=2.5.32、6.0.0<=Apache Struts2<=6.3.0
  • 0x04 修复建议


官方已经发布了安全版本,如有受影响的用户建议立即更新到安全版本
安全版本:
Apache Struts2 >= 2.5.33
Apache Struts2 >= 6.3.0.2

原文始发于微信公众号(花果山讲安全):【漏洞预警】Apache Struts2 远程代码执行漏洞(CVE-2023-50164)

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2023年12月8日12:37:02
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   【漏洞预警】Apache Struts2 远程代码执行漏洞(CVE-2023-50164)https://cn-sec.com/archives/2279584.html

发表评论

匿名网友 填写信息