今天就跟大家聊聊有关如何进行Apache Struts2 S2-057漏洞分析,可能很多人都不太了解,为了让大家更加了解,小编给大家总结了以下内容,希望大家根据这篇文章可以有所收获。
如果未为基础xml配置中定义的结果设置命名空间值,同时其上层操作配置没有命名空间或通配符命名空间,则可能执行RCE攻击。同样的可能性是,当使用url标记时,它没有值和操作集,同时,它的上层操作配置没有或没有通配符命名空间。------ApacheStruts2团队
2018年8月23日,Apache Strust2发布最新安全公告,Apache Struts2 存在远程代码执行的高危漏洞,该漏洞由Semmle Security Research team的安全研究员汇报,漏洞编号为CVE-2018-11776(S2-057)。Struts2在XML配置中如果namespace值未设置且(Action Configuration)中未设置或用通配符namespace时可能会导致远程代码执行。
0x01漏洞影响面
影响面
确定CVE-2018-11776为高危漏洞。 实际场景中存在一定局限性,需要满足一定条件。
影响版本
Struts 2.3 to 2.3.34
Struts 2.5 to 2.5.16
修复版本
Struts 2.3.35 Struts 2.5.17
0x02 漏洞验证
传入OGNL表达式${2333+2333}
成功带入执行函数,并执行
返回结果至URL
0x03 修复建议
官方建议升级Struts到2.3.35版本或2.5.17版本
该版本更新不存在兼容性问题
看完上述内容,你们对如何进行Apache Struts2 S2-057漏洞分析有进一步的了解吗?如果还想了解更多知识或者相关内容,请关注编程之家行业资讯频道,感谢大家的支持。
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。