紧急 | Struts 2最新高危漏洞余波未平, S2-046攻击手段曝光

近日,Apache发布官方安全通告。由于没有正确的处理文件上传,导致Struts 2的Jakarta Multipart解析器中存在严重安全漏洞。攻击者可以通过构造HTTP请求头中的Content-Type值可能造成远程任意代码执行。

该漏洞与不久前安恒信息安全研究院WEBIN实验室高级安全研究员nike.zheng所发现的Struts 2高危漏洞(CNNVD编号CNNVD-201703-152,CVE编号CVE-2017-5638)属于同一漏洞,只是利用手法不同,厂商为这个漏洞发布了两篇安全公告(S2-045与S2-046)。如果已经按照之前S2-045漏洞的修复要求将Struts 2升级到了最新版本,就不会受本次安全公告中所述漏洞的影响。

安恒信息再次提示您,使用明鉴Web应用弱点扫描器和网站安全监测平台的用户升级到最新策略版本可以帮助您查找漏洞是否存在,另外以下措施可以有效防范Struts2 S2-045和S2-046漏洞:

  • 升级到Struts2.5.10.1 或者Struts 2.3.32 版本。官方升级地址:

https://dist.apache.org/repos/dist/release/struts/2.5.10.1/

https://dist.apache.org/repos/dist/release/struts/2.3.32/

  • 删除commons-fileupload-x.x.x.jar文件。请注意删除该文件可能导致网站的上传功能或其他应用无法正常使用。
  • 如果升级或删除文件的方式均不可行,建议部署安恒信息的WAF、玄武盾、APT等产品并确保规则库已经升级到最新版本。目前上述产品均已支持Struts2 S2-045和S2-046漏洞的策略更新,可以有效防范该漏洞。

原文发布于微信公众号 - 安恒信息(DBAPP2013)

原文发表时间:2017-03-21

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏大魏分享(微信公众号:david-share)

一个虚拟化客户上云的需求分析&架构设计-大卫的Azure学习笔记大全

案例分析与架构设计 案例分析:大卫公司电子商务网站案例研究 大卫公司是北京的一家媒体和出版公司,拥有约2000名员工。它有一个成功的直接面向消费者的电子商务网站...

42980
来自专栏小文博客

Android平台渗透测试套件zANTI v2.5发布(含详细说明)

53320
来自专栏FreeBuf

利用Python实现DGA域名检测

前段时间爆发的利用永恒之蓝进行勒索及xshell等事件,各大厂家都站在不同的角度分析了相应的事件及程序,对于对逆向不了解看着的确很吃力。上段时间看到宫总及袁哥都...

73260
来自专栏zhangdd.com

ntp服务器查看状态命令ntpstat及ntpq -p 说明及差别详解

NTP服务器【Network Time Protocol(NTP)】是用来使计算机时间同步化的一种协议,它可以使计算机对其服务器或时钟源(如石英钟,GPS等等)...

35820
来自专栏魏艾斯博客www.vpsss.net

域名和空间是什么关系

1.1K50
来自专栏耕耘实录

一个参数解决userdel无法删除已存在用户的问题

版权声明:本文为耕耘实录原创文章,各大自媒体平台同步更新。欢迎转载,转载请注明出处,谢谢。

18130
来自专栏信安之路

【作者投稿】Slowhttptest攻击原理

Slowhttptest其实是一个DoS压力测试工具,它集成有三种慢速攻击模式(slowloris、slow http post、slow read attac...

32000
来自专栏信安之路

线下赛ASP靶机漏洞利用分析

继上次发表 记一次线下赛靶机攻击过程 后,看到反响不错,特此再写一篇,关于一台 ASP 靶机漏洞利用过程。

54100
来自专栏数据和云

故障恢复:从未知错误ORA-600 [3712]以猜测推理达成恢复

李真旭 Oracle ACE,云和恩墨技术专家 个人博客:www.killdb.com 在Oracle数据库的日常维护中,我们可能经常会遇到一些从未见过的错误,...

31560
来自专栏IT技术精选文摘

窥探Nginx内部实现:如何为性能和规模进行设计

NGINX在网络性能方面处于领先地位,这一切都是由于软件的设计方式。尽管许多Web服务器和应用程序服务器使用简单的线程或基于进程的架构,但NGINX具有复杂的事...

21850

扫码关注云+社区

领取腾讯云代金券