聯(lián)系人：李女士
座機：010-59433750
手機：15313878231
郵 箱：angelals@secspace.com
地 址：北京市海淀區(qū)金碼大廈B座2328
Apache Struts2 REST插件遠程代碼執(zhí)行漏洞
CVE-ID ? ：CVE-2017-9805
CNVD-ID：CNVD-2017-25267 ? ?
發(fā)布時間 ：2017-09-06
漏洞作者 ：Man Yue Mo
漏洞等級 ：高危
影響版本 ：Struts 2.5 -?Struts 2.5.12
漏洞描述 ：Struts2 是Apache軟件基金會負責(zé)維護的一個基于MVC設(shè)計模式的Web應(yīng)用框架開源項目。?
Apache Struts2 REST插件存在遠程代碼執(zhí)行漏洞，由于使用XStream組件對XML格式的數(shù)據(jù)包進行反序列化操作時，未對數(shù)據(jù)內(nèi)容進行有效驗證，導(dǎo)致攻擊者可利用漏洞執(zhí)行任意代碼。
參考鏈接 ：
https://cwiki.apache.org/confluence/display/WW/S2-052
解決方案 ：
1、升級到Struts 2.5.13版本，補丁下載地址：
https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.13
2、如果系統(tǒng)沒有使用Struts REST插件，那么可以直接刪除Struts REST插件，或者在配置文件中加入如下代碼，限制服務(wù)端文件的擴展名：
.png)