今年四月份，Apache Struts 2之上发现的S2-033远程代码执行漏洞以迅雷不及掩耳之势席卷而来，其利用代码很快就让全网沦陷，而官方针对这个高危漏洞的修复方案还是无效的。
昨日，悲剧再度发生了，这次发现的Struts 2新漏洞编号为CVE-2016-4438。这又是一个很严重的远程代码执行漏洞，使用REST插件的用户就会遭遇该问题。
Struts2是Struts的下一代产品，是在 struts1和WebWork的技术基础上进行了合并的全新的Struts2框架。Struts2以WebWork为核心，采用拦截器的机制来处理用户的请求，这样的设计也使得业务逻辑控制器能够与 ServletAPI完全脱离开，所以Struts2可以理解为WebWork的更新产品。
1
漏洞详情
漏洞编号：CVE-2016-4438
漏洞危害：造成远程代码执行
漏洞等级：高危
影响版本：Apache struts 2.3.20 - 2.3.28.1 版本使用了REST插件的用户
漏洞编号：CVE-2016-4438
• 加入cleanupActionName方法进行过滤，或者更新至官方struts2.3.29
• 使用网藤风险感知提供风险预警与检测。
网藤风险感知是由斗象科技完全自主研发，基于SaaS模式的自动化企业安全风险感知服务平台，以全局视角侦查企业边界与风险资产，全面提升企业对风险的感知能力。具备实时感知风险与威胁的能力，7x24小时持续性威胁检测，并且有30万安全大数据、数十万漏洞库以及3万白帽安全专家共同支持。
点击阅读原文，可以申请免费试用网藤！
漏洞盒子 VulBox
国内领先的互联网安全服务商
MAKE SECURITY ENTRENCHED STILL
原文始发于微信公众号（漏洞盒子VulBox）：Apache Struts 2 S2-037 远程代码执行 | Struts 2再掀波澜
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论