漏洞名称
Apache Struts2 远程代码执行漏洞 S2-066（CVE-2023-50164）
Apache Struts2 是一个基于 Java 的开源 Web 应用程序框架，用于构建企业级 Java Web 应用程序，采用了 MVC（Model-View-Controller）设计模式，通过将应用程序的不同层分离，可以使开发人员能够更好地组织和管理代码。
漏洞评分
8.1（高危）
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/
漏洞详情
在 Apache Struts2 框架中，由于文件上传逻辑存在缺陷，因此攻击者可通过操纵文件上传参数来实现路径穿越，在某些情况下，远程攻击者可利用该漏洞上传恶意文件从而获得服务器的控制权限。
| 漏洞编号 | CVE-2023-50164 | 漏洞类型 | 远程代码执行漏洞 |
| POC状态 | 未知 | 漏洞细节 |
未知 |
| EXP状态 |
未知 | 在野利用 |
未知 |
影响版本
2.5.0 <= Apache Struts2 <= 2.5.32
6.0.0 <= Apache Struts2 <= 6.3.0
安全版本
Apache Struts2 >= 2.5.33
Apache Struts2 >= 6.3.0.2
修复建议
更新 Apache Struts2 至安全版本：
https://struts.apache.org/download.cgi
参考链接
https://cwiki.apache.org/confluence/display/WW/S2-066
https://nvd.nist.gov/vuln/detail/CVE-2023-50164
原文始发于微信公众号（蚁剑安全实验室）：【漏洞预警】Apache Struts2 远程代码执行漏洞 S2-066（CVE-2023-50164）
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论