● 点击↑蓝字关注我们，获取更多安全风险通告
|
漏洞概述 |
|||
|
漏洞名称 |
Apache Struts 代码执行漏洞 |
||
|
漏洞编号 |
QVD-2023-46516、CVE-2023-50164 |
||
|
公开时间 |
2023-12-07 |
影响对象数量级 |
十万级 |
|
奇安信评级 |
高危 |
CVSS 3.1分数 |
8.1 |
|
威胁类型 |
代码执行 |
利用可能性 |
中 |
|
POC状态 |
未公开 |
在野利用状态 |
未发现 |
|
EXP状态 |
未公开 |
技术细节状态 |
未公开 |
|
危害描述：成功利用该漏洞可在目标系统上执行任意代码。 |
|||
影响组件
Apache Struts 2是一个用于开发Java EE网络应用程序的开放源代码网页应用程序架构。它利用并延伸了Java Servlet API，鼓励开发者采用MVC架构。
漏洞描述
近日，奇安信CERT监测到Apache Struts 代码执行漏洞(CVE-2023-50164)，攻击者可以控制文件上传参数执行路径遍历，在某些情况下可以上传恶意文件，从而执行任意代码。
鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
影响版本
2.5.0 <= Struts <= 2.5.32
6.0.0 <= Struts <= 6.3.0
其他受影响组件
无
奇安信鹰图资产测绘平台数据显示，Apache Struts 代码执行漏洞(CVE-2023-50164)关联的国内风险资产总数为373583个，关联IP总数为19851个。国内风险资产分布情况如下：
Apache Struts 代码执行漏洞(CVE-2023-50164)关联的全球风险资产总数为718611个，关联IP总数为86216个。全球风险资产分布情况如下：
安全更新
目前，官方已有可更新版本，建议用户尽快更新到安全版本：
Struts >= 2.5.33
Struts >= 6.3.0.2
[1]https://cwiki.apache.org/confluence/display/WW/S2-066
2023年12月8日，奇安信 CERT发布安全风险通告。
点击↓阅读原文，到ALHA威胁分析平台订阅更多漏洞信息。
原文始发于微信公众号（奇安信 CERT）：Apache Struts 代码执行漏洞(CVE-2023-50164)安全风险通告
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论