【漏洞通告】Apache Struts（CVE-2019-0230、CVE-2019-0233）处置手册

受影响版本

4.1  官方升级

官方已在2019年11月发布的2.5.22版本中修复了这两个漏洞，请受影响的用户尽快升级版本进行防护，官方下载链接：https://struts.apache.org/download.cgi#struts-ga

4.2  临时防护措施

若相关用户暂时无法进行升级操作，也可使用以下措施进行临时缓解：

S2-059（CVE-2019-0230）：

1. 将输入参数的值重新分配给某些Struts的标签属性时，始终对其进行验证，不要在值以外的标签属性中使用%{...} or ${...}语法引用用户可修改的输入。

2. 考虑开启Proactive OGNL Expression Injection Protection。

开启ONGL表达式注入保护请参阅官方指南：

https://struts.apache.org/security/#proactively-protect-from-ognl-expression-injections-attacks-if-easily-applicable

参考：https://cwiki.apache.org/confluence/display/ww/s2-059

S2-060（CVE-2019-0233）：

在struts-default.xml文件中，找到struts.excludedPackageNames常数，并将jave.io.以及java.nio.添加到value属性中。

参考：https://cwiki.apache.org/confluence/display/WW/S2-060

4.3  产品防护

针对S2-059（CVE-2019-0230）与S2-060（CVE-2019-0233）漏洞，绿盟科技防护产品原有规则即可防护，建议相关用户升级至最新版本规则，形成安全产品防护能力。安全防护产品规则版本号如下：

产品规则升级的操作步骤详见如下链接：

IPS：https://mp.weixin.qq.com/s/JsRktENQNj1TdZSU62N0Ww

WAF：https://mp.weixin.qq.com/s/oubjPqR4DURWPvrQ9W9mWA

NF：https://mp.weixin.qq.com/s/bggqcm9VqHiPnfV1XoNuDQ

4.4  平台监测

绿盟企业安全平台（ESP-H）与绿盟智能安全运营平台（ISOP）已经具备针对S2-059（CVE-2019-0230）与S2-060（CVE-2019-0233）的检测能力，部署有绿盟科技平台类产品的用户，可实现对漏洞的平台监测能力。