搜索

[1496] 2018-11-07_关于ApacheStruts2CommonsFileUpload反序列化远程代码执行漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2018-11-07_关于ApacheStruts2CommonsFileUpload反序列化远程代码执行漏洞的安全公告 关 于 A p a c h e   S t r u t s 2   C o m m o n s   F i l e U p l o a d 反 序 列 化 远 程 代 码 执 行 漏 洞 的 安 全 公 告 原 创   C N V D   C N V D 漏 洞 平 台   2 0 1 8 - 1 1 - 0 7 安 全 公 告 编 号 : C N T A - 2 0 1 8 - 0 0 2 9 2 0 1 8 年 1 1 月 7 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 A p a c h e   S t r u t s 2   C o m m o n s   F i l e U p l o a d 反 序 列 化 远 程 代 码 执 行 漏 洞 （ C N V D - 2 0 1 6 - 0 9 9 9 7 ， 对 应 C V E - 2 0 1 6 - 1 0 0 0 0 3 1 ） 。 攻 击 者 利 用 该 漏 洞 ， 可 在 未 授 权 的 情 况 下 远 程 执 行 代 码 。 目 前 ， 厂 商 已 发 布 修 复 漏 洞 的 版 本 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 S t r u t s 2 是 第 二 代 基 于 M o d e l - V i e w - C o n t r o l l e r （ M V C ） 模 型 的 j a v a 企 业 级 w e b 应 用 框 架 ， 成 为 国 内 外 较 为 流 行 的 容 器 软 件 中 间 件 。 2 0 1 8 年 1 1 月 5 日 ， A p a c h e   S t r u s t 2 发 布 最 新 安 全 公 告 ， A p a c h e   S t r u t s 2 存 在 远 程 代 码 执 行 的 高 危 漏 洞 （ C V E - 2 0 1 6 - 1 0 0 0 0 3 1 ） ， 该 漏 洞 由 T e n a b l e 研 究 团 队 发 现 。 此 漏 洞 为 F i l e U p l o a d   库 中 的 一 个 高 危 漏 洞 ， 这 个 库 作 为 A p a c h e   S t r u t s   2 的 一 部 分 ， 被 用 作 文 件 上 传 的 默 认 机 制 。 攻 击 者 可 以 在 未 经 授 权 的 情 况 下 ， 执 行 任 意 代 码 并 可 获 取 目 标 系 统 的 所 有 权 限 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 目 前 ， 漏 洞 影 响 的 产 品 版 本 包 括 ： S t r u t s   2 . 5 . 1 2 以 下 版 本 。 三 、 漏 洞 处 置 建 议 三 、 漏 洞 处 置 建 议 目 前 ， A p a c h e 公 司 已 发 布 了 新 版 本 （ S t r u t s   2 . 5 . 1 2 及 以 上 版 本 ， 包 括 C o m m o n s   F i l e U p l o a d 库 的 修 补 版 本 1 . 3 . 3 ） 修 复 了 该 漏 洞 ， C N V D 建 议 用 户 及 时 升 级 最 新 版 本 ： h t t p s : / / i s s u e s . a p a c h e . o r g / j i r a / b r o w s e / F I L E U P L O A D - 2 7 9   附 ： 参 考 链 接 ： h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 6 - 0 9 9 9 7 h t t p s : / / i s s u e s . a p a c h e . o r g / j i r a / b r o w s e / F I L E U P L O A D - 2 7 9 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理