报告编号：CERT-R-2023-575
报告来源：360CERT
报告作者：360CERT
更新日期：2023-12-08
2023年12月08日，360CERT监测发现Apache发布了Struts的风险通告，漏洞编号为CVE-2023-50164，漏洞等级：高危，漏洞评分：8.1。
Apache Struts 2是一个用于开发Java EE网络应用程序的开放源代码网页应用程序架构。
对此，360CERT建议广大用户及时请做好资产自查以及预防工作，以免遭受黑客攻击。
360CERT对该漏洞的评定结果如下
| 评定方式 | 等级 |
|---|---|
| 威胁等级 | 高危 |
| 影响面 | 广泛 |
| 攻击者价值 | 高 |
| 利用难度 | 低 |
| 360CERT评分 | 8.1 |
CVE-2023-50164 任意代码执行漏洞
组件: Apache:Struts
漏洞类型: 程序逻辑错误
实际影响: 任意代码执行
主要影响: 服务器接管
简述: 该漏洞存在于Apache Struts中，是一个代码执行漏洞。攻击者可以操纵文件上传参数来执行路径遍历，进而上传可用于执行远程代码执行的恶意文件。
CVE-2023-50164
| 组件 | 影响版本 | 安全版本 |
|---|---|---|
| Apache:Struts | 2.5.0 ~ 2.5.32 | >= 2.5.33 |
| Apache:Struts | 6.0.0 ~ 6.3.0 | >= 6.3.0.2 |
通用修补建议
根据影响版本中的信息，排查并升级到安全版本，或直接访问参考链接获取官方更新指南。
2023年12月04日 Apache官方发布通告
2023年12月08日 360CERT发布通告
https://cwiki.apache.org/confluence/display/WW/S2-066
原文始发于微信公众号（三六零CERT）：CVE-2023-50164：Apache Struts 代码执行漏洞通告
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论