前言

 
 
 
 
 

据消息称,去年京东数据泄露即因Struts漏洞引起

 

  近日,struts2官方发布了Apache Struts s2-045 远程代码执行漏洞(CVE-2017-5638),该漏洞主要影响Struts 2.3.5 - Struts 2.3.31和Struts 2.5 - Struts 2.5.10版本,攻击者可利用该漏洞获取Struts程序的权限远程执行任意命令。

漏洞名称:  
       基于Jakarta plugin插件的Struts远程代码执行漏洞。

 

官方评级:
        高危

 

漏洞描述:        

        恶意用户可在上传文件时通过修改HTTP请求头中的Content-Type值来触发该漏洞,进而执行系统命令。

 

漏洞利用条件和方式: 

         黑客通过Jakarta 文件上传插件实现远程利用该漏洞执行代码。  
 

受影响版本:

  Struts 2.3.5 - Struts 2.3.31

       Struts 2.5 - Struts 2.5.10


修复建议:
       如果您使用了Struts2并在受影响版本内,我们建议您尽快升级Struts至Struts 2.3.32Struts 2.5.10.1版本,使用云盾类产品者建议联系技术人员尽快增加其漏洞检测功能。

 

---

ps:升级前做好备份工作。