UCloud-201707-001:Struts远程代码执行漏洞安全预警 | U刻
  • UCloud-201707-001:Struts远程代码执行漏洞安全预警

    栏目:安全资讯

    尊敬的UCloud用户:

    Apache Struts 2被曝存在远程命令执行高危漏洞,会导致系统被黑客入侵。请检查您所使用的struts是否受到影响,并进行安全修复。

    影响范围

    Struts 2.3.x中的Showcase应用

    修复方案
    1.使用UEWAF 进行安全防御;
    2.使用正确的方式传递数据:
    开发者向ActionMessage传递原始消息时不要直接传递原始数据,而应使用如下方法:
    messages.add(“msg”, new ActionMessage(“struts1.gangsterAdded”, gform.getName()));
    而不要使用如下的方式:

    messages.add(“msg”, new ActionMessage(“Gangster ” + gform.getName() + ” was added”));

    漏洞详情

    CVE-2017-9791:Apache Struts被曝存在远程命令执行高危漏洞,漏洞编号S2-048。当Struts 2中的  Struts 1插件启用的情况下,攻击者通过使用恶意字段值可能造成RCE。这些不可信的输入数据被带入到ActionMessage类中的错误信息中。

    参考链接