| 漏洞概述 | |||
| 漏洞名称 | Apache Struts 文件上传漏洞 | ||
| 漏洞编号 | QVD-2024-50398,CVE-2024-53677 | ||
| 公开时间 | 2024-12-11 | 影响量级 | 十万级 |
| 奇安信评级 | 高危 | CVSS 3.1分数 | 8.1 |
| 威胁类型 | 代码执行 | 利用可能性 | 高 |
| POC状态 | 已公开 | 在野利用状态 | 未发现 |
| EXP状态 | 未公开 | 技术细节状态 | 未公开 |
| 危害描述：成功利用可能导致文件上传获取服务器权限。 | |||
本次更新内容：
更新漏洞状态；
新增产线解决方案；
新增复现截图。
ActionFileUploadInterceptor 作为文件上传组件：
https://github.com/apache/struts/releases
修复缓解措施：
1.检查是否使用了 FileUploadInterceptor 组件，如果并未使用则不受该漏洞影响；
2.实施严格的输入验证，确保所有上传的文件都符合预期的格式和大小限制；
3.将上传的文件存储在隔离的环境中，并限制对这些文件的执行权限，以减少潜在的损害。
奇安信开源卫士20241216. 840版本已支持对Apache Struts 文件上传漏洞(CVE-2024-53677)的检测。
奇安信网站应用安全云防护系统已更新防护特征库
奇安信网神网站应用安全云防护系统已全局更新所有云端防护节点的防护规则，支持对Apache Struts 文件上传漏洞(CVE-2024-53677)的防护。
[2]https://cwiki.apache.org/confluence/display/WW/S2-067
[3]https://nvd.nist.gov/vuln/detail/CVE-2024-53677
2024年12月16日，奇安信 CERT发布安全风险通告第二次更新。
原文始发于微信公众号（奇安信 CERT）：【已复现】Apache Struts 文件上传漏洞(CVE-2024-53677)安全风险通告第二次更新
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论