【漏洞预警】Apache Struts 2高危漏洞风险提示

发布者:李雪娇发布时间:2020-12-09浏览次数:692

Apache Struts 2高危漏洞风险提示

 

【漏洞公告】

    2020128日,Apache官方发布Struts 2.0.02.5.25版本中存在OGNL表达式注入的远程代码执行漏洞(S2-061)公告,对应CVE编号:CVE-2020-17530,相关链接:

    https://cwiki.apache.org/confluence/display/WW/S2-061

    根据公告,在Struts 2.0.02.5.25版本中,在Struts某些标签属性内强制执行OGNL 表达式,可能导致成远程代码执行效果,恶意攻击者成功利用该漏洞可以获得目标系统管理权限,建议部署有该框架的应用及时升级到漏洞修复的版本。

    Apache Struts历史安全公告参考:

    https://cwiki.apache.org/confluence/display/WW/Security+Bulletins

 

【影响范围】

    OGNL表达式注入的远程代码执行漏洞(CVE-2020-17530)影响以下版本:

    Struts 2.0.0-Struts 2.5.25,建议更新到Struts 2.5.26以上版本

    官方下载地址:

    http://struts.apache.org/download.cgi

    GitHub下载地址:

    https://github.com/apache/struts/releases

 

【漏洞描述】

    CVE-2020-17530漏洞,与S2-059漏洞相似,如果开发人员使用了%{...}语法,则攻击者可以在Struts某些标签属性内强制执行OGNL 表达式,造成OGNL表达式二次执行,从而实现代码执行效果。

 

【缓解措施】

    高危:目前漏洞细节已经部分公开,参考S2-059的利用应该很快会出现利用代码,建议及时测试并升级到漏洞修复的版本,或部署必要的安全防护设备拦截恶意攻击代码。

    安全开发建议:

    基于Struts 2框架的开发不要在标签属性中使用%{...}语法引用未经验证的用户可修改输入,由于Struts 2历史上报过多次漏洞,建议使用该组件的用户多专注官方漏洞公告。