Struts2是一个流行的Java框架,用于开发企业级Web应用程序。支
  

火狐狸 468

{{ttag.title}}
Struts2是一个流行的Java框架,用于开发企业级Web应用程序。支持动作处理、表单验证、拦截器,以及与其他Java技术的集成。



2023年12月,Apache官方发布新版本修复了Struts2中的一个文件上传漏洞(CVE-2023-50164),并将其编号为S2-066。



该漏洞的利用依赖于特定环境的条件,需要根据不同环境定制化攻击数据包。这增加了利用难度,不太可能出现自动化和大规模的利用。鉴于此,企业可以根据自身情况和风险评估来决定修复漏洞的优先级和时间安排。注意:虽然这不是一个容易被广泛利用的漏洞,但考虑到潜在的风险,建议尽早采取相应的安全措施。






漏洞描述
Description


01


漏洞成因



由于Struts框架在处理参数名称大小写方面的不一致性,导致攻击者能够通过修改参数名称的大小写来利用目录遍历技术(如使用../路径)上传文件到服务器的非预期位置。



利用特征



参数名称大小写变化:在上传请求的数据包中,可以观察到涉及文件上传功能的参数名称出现大小写变化的情况。这是由于攻击者试图利用Struts框架对参数名称大小写处理不一致的问题。



目录遍历痕迹:数据包中可能包含明显的目录遍历痕迹,如使用../等路径。攻击者通过这种方式尝试上传文件到服务器的非预期目录。



漏洞影响



远程代码执行风险:该漏洞使得未授权的攻击者能在服务器上执行任意代码,可能导致系统被控制。



数据泄露风险:攻击者可能通过这个漏洞访问和窃取服务器上的敏感数据。



勒索软件攻击风险:攻击者可以上传并执行勒索软件导致业务系统被锁定。




影响版本
Affected Version


02


Apache Struts 2.0.0 至 2.5.32

Apache Struts 6.0.0 至 6.3.0.1




解决方案
Solution


03
临时缓解方案


增强输入验证:在Struts应用使用文件上传相关的代码处进行严格的输入验证。特别是要确保不直接将用户提供的文件名拼接为文件路径的一部分,因为这可能导致路径遍历。



文件名随机化:在保存上传的文件时不直接使用用户上传的文件名,生成一个随机的文件名。这可以防止攻击者预测或操纵文件路径。


访问控制:加强服务器和应用的访问控制。确保只有信任的用户和系统可以访问受影响的Struts应用。


监控和日志记录:加强对Web应用的监控和日志记录,特别是关注异常上传行为和路径遍历尝试。



升级修复方案

Apache官方已发布安全更新,建议访问官网(https://struts.apache.org/download.cgi#struts-ga)升级至最新版本。

打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

发表新帖
热门标签
全部标签>
每日一问
2024年技术争霸赛
技术笔记
技术盲盒
干货满满
新版本体验
GIF动图学习
技术咨询
信服课堂视频
功能体验
通用技术
秒懂零信任
2023技术争霸赛专题
产品连连看
安全攻防
标准化排查
自助服务平台操作指引
答题自测
网络基础知识
在线直播
玩转零信任
技术晨报
齐鲁TV
华北区交付直播
每周精选
畅聊IT
专家问答
技术圆桌
MVP
安装部署配置
升级
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
北京区每日一练

本版版主

461
245
13

发帖

粉丝

关注

本版达人

feeling

本周分享达人

新手29676...

本周提问达人