神刀安全网

​附POC截图, Apache Struts 2 远程代码执行漏洞(CVE-2016-0785)安全通告

​附POC截图, Apache Struts 2 远程代码执行漏洞(CVE-2016-0785)安全通告

近日Apache发布官方漏洞通告S2-029存在可能远程命令执行的告警。360的小伙伴加班加点在跟进此漏洞的进展,并且在补丁发出之前验证了漏洞的存在。见图。

​附POC截图, Apache Struts 2 远程代码执行漏洞(CVE-2016-0785)安全通告

Struts2是世界上最广泛使用的Java web服务器框架之一,之前S2-005,S2-009,S2-013,S2-016,S2-020都存在远程命令执行漏洞,使得大量的网站系统遭受入侵。S对互联网网站系统的危害比较大。

这次S2-029的漏洞主要在于当用户可以控制特定标签的属性时,通过OGNL二次计算可以执行任意命令,危害程度与前几次相同。所以请广大用户注意官方更新的补丁,升级至2.3.26版本

受影响范围

Struts 2.0.0 – Struts Struts 2.3.24.1

修复建议

当重分配传入Struts标签属性的参数时,总是进行验证

建议用户将Struts升级至 2.3.26版本

监控WEB日志及时发现入侵事件。

本文由 360安全播报 原创发布,如需转载请注明来源及本文地址。本文地址:http://bobao.360.cn/learning/detail/2801.html

转载本站任何文章请注明:转载至神刀安全网,谢谢神刀安全网 » ​附POC截图, Apache Struts 2 远程代码执行漏洞(CVE-2016-0785)安全通告

分享到:更多 ()

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址
分享按钮