漏洞名称:
S2-062 Struts2 OGNL表达式注入漏洞
组件名称:
S2-062 Struts2 OGNL
影响范围:
2.0.0 <= Apache Struts <= 2.5.29
漏洞编号:
CVE-2021-31805
漏洞类型:
远程命令执行
利用条件:
无
综合评价:
<利用难度>:低
<威胁等级>:高危 能获取服务器权限
#1 漏洞描述
从通报来看,S2-062漏洞可以认为是S2-059和S2-061的延续,由于补丁修复不完整,导致仍然有标签可以实现二次OGNL表达式注入,漏洞影响版本为`Struts v2.0.0-v2.5.29`。
#2 解决方案
1 将输入参数的值重新分配给某些Struts的标签属性时,始终对其进行验证,不要在值以外的标签属性中使用%{…} 语法引用用户可修改的输入。
2 开启ONGL表达式注入保护。
#3 参考资料
https://struts.apache.org/security/#proactively-protect-from-ognl-expression-injections-attacks-if-easily-applicable
原文始发于微信公众号(锦行信息安全):【漏洞预警】 S2-062 Struts2 OGNL表达式注入漏洞
- 左青龙
- 微信扫一扫
- 右白虎
- 微信扫一扫
评论