【漏洞预警】Apache Struts存在文件上传漏洞（CVE-2024-53677）风险提示

【安全通告】

该产品主要使用客户行业分布广泛，漏洞危害性高，建议客户尽快做好自查及防护。

【漏洞信息】

1、Apache Struts存在文件上传漏洞（CVE-2024-53677）
漏洞类型	文件上传	漏洞危害等级	高危
安恒CERT评级	2级	CVSS3.1评分	8.1
CVE编号	CVE-2024-53677	CNVD编号	未分配
CNNVD编号	未分配	安恒CERT编号	DM-202411-003426
POC情况	未发现	EXP情况	未发现
在野利用情况	未发现	研究情况	分析中
影响版本
Struts 2.0.0 - Struts 2.3.37（EOL） Struts 2.5.0 - Struts 2.5.33 Struts 6.0.0 - Struts 6.3.0.2
安全版本
Struts >= 6.4.0
CVSS向量
访问途径（AV）	网络	攻击复杂度（AC）	高
所需权限（PR）	无需任何权限	用户交互（UI）	不需要用户交互
影响范围（S）	不变	机密性影响（C）	高
完整性影响（I）	高	可用性影响（A）	高
危害描述	若用户未正确配置验证和过滤机制，攻击者可以操纵文件上传参数来启用路径遍历，利用未授权的上传功能执行恶意代码。未使用FileUploadInterceptor的情况下将不受该漏洞影响。

【修复方案】

官方修复方案:

官方已发布修复方案，受影响的用户建议更新至安全版本。

官方链接：

https://struts.apache.org/download.html

临时缓解方案：

禁用FileUploadInterceptor，或仅允许白名单中的文件类型进行上传。

配置严格的权限验证，确保上传功能仅对授权用户开放。

【参考资料】

https://cwiki.apache.org/confluence/display/WW/S2-067