Apache Struts2 是一个开源的 Java Web 应用程序开发框架,旨在帮助开发人员构建灵活、可维护和可扩展的企业级 Web 应用程序。
微步情报局获取到 Apache Struts2 文件上传漏洞情报 CVE-2024-53677 (https://x.threatbook.com/v5/vul/XVE-2024-35895),攻击者成功利用该漏洞可上传任意文件,从而远程执行任意代码,如果系统没有使用FileUploadInterceptor组件,则不受此漏洞影响。
综合处置优先级:高
基本信息 |
微步编号 |
XVE-2024-35895 |
漏洞类型 |
远程代码执行 |
|
利用条件评估 |
利用漏洞的网络条件 |
远程 |
是否需要绕过安全机制 |
不需要 | |
对被攻击系统的要求 |
使用FileUploadInterceptor组件 | |
利用漏洞的权限要求 |
无需任何权限 | |
是否需要受害者配合 |
不需要 | |
利用情报 |
POC是否公开 |
否 |
已知利用行为 |
否 |
产品名称 |
Apache软件基金会 - Apache Struts |
受影响版本 |
2.0.0 - 2.3.37 2.5.0 - 2.5.33 6.0.0 - 6.3.0.2 |
有无修复补丁 |
有 |
官方修复方案:
https://cwiki.apache.org/confluence/display/WW/S2-067
临时修复方案:
-
自查业务是否使用了 FileUploadInterceptor 组件,如果并未使用则不受该漏洞影响。 -
使用防护类设备对文件上传接口进行防护。 -
如非必要,避免将资产暴露在互联网。
原文始发于微信公众号(微步在线研究响应中心):【更新】Apache Struts2文件上传漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论