Apache修复 Struts 2 中的严重 RCE 漏洞

Apache修复 Struts 2 中的严重 RCE 漏洞
2024-12-13 09:34:0 Author: mp.weixin.qq.com(查看原文) 阅读量:6 收藏

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

Apache Struts 2 宣布修复11月披露的漏洞CVE-2024-53677。该漏洞的CVSS v3 评分为9.5，CVSS v4 评分为9.8。远程攻击者无需任何权限，即可利用该漏洞，对系统机密性、完整性和可用性造成严重影响。Apache Foundation很可能并未披露该漏洞的最危险之处，以便客户有时间更新至安全版本Struts 6.4.0或更高版本。

鉴于 Struts 漏洞与2017年爆发的“完全可阻止的” Equifax 泄露事件有关，因此Apache Foundation 这么做也无可厚非。Apache Foundation 在安全公告中称，“攻击者可操控文件上传参数，造成路径遍历后果，而在某些情况下，这样做可导致恶意文件上传，从而进行远程代码执行。”

受影响版本包括：

Struts 2.0.0至Struts 2.3.37（已达生命周期）
Struts 2.5.0至Struts 2.5.33
Struts 6.0.0至Struts 6.3.0.2

未使用 Struts 的File Upload Interceptor 组件的应用并不受影响，因为该组件从6.4.0 起就被弃用并在7.0.0版本中被完全删除。

Apache Foundation 提到，在升级过程中，建议用户将文件上传机制更新为 Action File Upload Interceptor（自6.4.0版本开始就取代了上述提到的 File Upload Interceptor组件）。File Upload Interceptor 被弃用的原因与配置选项、安全性、性能和集成能力等均有关。

升级该机制并不像应用简单的更新那样轻松。用户必须重写操作，确保与 Action File Upload 的兼容性，而继续使用旧版本不可行，正如Apache 提到的，“使用旧的File Upload 机制的用户仍然易受攻击。”

尽管如今web app 开发人员经常选择不同的框架，但Struts 2 仍然热度不减。当 Sonatype 公司在去年分析性质和严重程度都类似于CVE-2024-53677的漏洞CVE-2023-50164时提到，Struts 2 每个月的下载量约为30万次，而其中80%都包含该严重漏洞。

CISA 将8个Apache Struts 漏洞纳入其必修清单，其中7个可导致远程代码执行后果，而CVE-2017-5638（即Equifax事件中涉及的漏洞）更是已被用于勒索攻击活动。

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

CISA 提醒注意已遭利用的 Apache HugeGraph-Server 漏洞

Apache 修复严重的 OFBiz 远程代码执行漏洞

【已复现】Apache OFBiz 授权不当致代码执行漏洞(CVE-2024-38856)安全风险通告

Apache 修复 Apache HTTP Server 中的源代码泄露漏洞

原文链接

https://www.theregister.com/2024/12/12/apache_struts_2_vuln/

题图：Pexels License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

文章来源: https://mp.weixin.qq.com/s?__biz=MzI2NTg4OTc5Nw==&mid=2247521787&idx=1&sn=aa7443d590ca0182f0cbd4386c81152a&chksm=ea94a491dde32d87b3060602978c36b5e8d18e86a58054c857fc9c0ef0807f81f3a326687c1d&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh