学习
实践
活动
专区
工具
TVP
写文章
  • 广告
    关闭

    新年·上云精选

    热卖云产品年终特惠,2核2G轻量应用服务器7.33元/月起,更多上云必备产品助力您轻松上云

  • 您找到你想要的搜索结果了吗?
    是的
    没有找到

    Apache Struts2 再现严重漏洞!

    Apache Software Foundation 发布了一个安全公告 S2-062,以解决 Struts 2.0.0 到 2.5.29 版本中存在的一个远程代码执行漏洞;攻击者可以利用此漏洞来控制受影响的系统 对此,美国网络安全和基础设施安全局 (CISA) 也发布公告敦促组织查看 Apache 的公告,并尽快升级到最新的 Struts 2 补丁版本。 尽管 ApacheStruts 2.5.26 中解决了 2020 年所报告的漏洞,但研究人员 Chris McCown 发现,所应用的修复方案并不完整。 他向 Apache 报告称,“双重评估”问题仍然可以在 Struts 版本 2.5.26 及更高版本中重现。 作为解决措施,Apache 方面建议开发人员避免基于不受信任的用户输入在标签属性中使用强制 OGNL 评估,和/或升级到 Struts 2.5.30 或更高版本,以检查表达式评估是否不会导致双重评估。

    15220

    Apache Struts2 再现严重漏洞。。。

    点击关注公众号,Java干货及时送达 文 | 白开水 出品 | OSC开源社区(ID:oschina2013) Apache Software Foundation 发布了一个安全公告 S2-062 对此,美国网络安全和基础设施安全局 (CISA) 也发布公告敦促组织查看 Apache 的公告,并尽快升级到最新的 Struts 2 补丁版本。 尽管 ApacheStruts 2.5.26 中解决了 2020 年所报告的漏洞,但研究人员 Chris McCown 发现,所应用的修复方案并不完整。 他向 Apache 报告称,“双重评估”问题仍然可以在 Struts 版本 2.5.26 及更高版本中重现。 作为解决措施,Apache 方面建议开发人员避免基于不受信任的用户输入在标签属性中使用强制 OGNL 评估,和/或升级到 Struts 2.5.30 或更高版本,以检查表达式评估是否不会导致双重评估。

    22030

    Apache Struts2漏洞又来, 腾讯云WAF一键防御

    漏洞再现 Apache Struts 2昨日再曝远程代码执行高危漏洞S2-032 作为是世界上最流行的Java Web服务器框架之一,Apache Struts 2本次曝出的漏洞立即带来一波腥风血雨,乌云等漏洞平台瞬间被各种相关漏洞刷屏 腾讯云一键防御 漏洞曝出后,Apache Struts 2官方发布了新版本,Struts 2用户可以下载新版本进行升级修复,但修复期间,漏洞可能就已经被黑客利用。 腾讯云用户可以一键接入腾讯云WAF,即时开启防御,再慢慢升级后台Struts 2版本。 1漏洞描述 Struts2在开启动态方法调用(DMI)的情况下,可被实施远程代码执行攻击。 2影响版本 Struts 2.0.0 – Struts 2.3.28 3修复方案 接入腾讯云WAF,一键开启防御,腾讯云WAF已可拦截针对次漏洞的攻击,点击“阅读原文”接入。 官方升级包下载链接:http://struts.apache.org/download.html#struts-ga 腾讯云WAF简介 腾讯云安全WAF是一款通过对http请求的检测分析,为Web应用提供实时防护的安全产品

    55350

    Apache Struts2漏洞又来, 腾讯云WAF一键防御

    漏洞又来 继3月份曝出远程代码执行的高危漏洞后,Apache Struts 2昨日再曝远程代码执行高危漏洞S2-032。 作为是世界上最流行的Java Web服务器框架之一,Apache Struts 2本次曝出的漏洞立即带来一波腥风血雨,乌云等漏洞平台瞬间被各种相关漏洞刷屏,其中包括众多金融行业系统。 腾讯云一键防御 漏洞曝出后,Apache Struts 2官方发布了新版本,Struts 2用户可以下载新版本进行升级修复,但修复期间,漏洞可能就已经被黑客利用。 2影响版本 Struts 2.0.0 – Struts 2.3.28 3修复方案 接入腾讯云WAF,一键开启防御,腾讯云WAF已可拦截针对次漏洞的攻击,点击“阅读原文”接入。 官方升级包下载链接:http://struts.apache.org/download.html#struts-ga 腾讯云WAF简介 腾讯云安全WAF是一款通过对http请求的检测分析,为Web应用提供实时防护的安全产品

    58280

    s2-029 Apache Struts2 标签远程代码执行分析

    >>>> 标签介绍 Struts2标签库提供了主题、模板支持,极大地简化了视图页面的编写,而且,struts2的主题、模板都提供了很好的扩展性。实现了更好的代码复用。 Struts2允许在页面中使用自定义组件,这完全能满足项目中页面显示复杂,多变的需求。 Struts2的标签库有一个巨大的改进之处,struts2标签库的标签不依赖于任何表现层技术,也就是说strtus2提供了大部分标签,可以在各种表现技术中使用。 text name="%{#request.lan}">xxxxx</s:text> 上面两个标签name属性都存在问题 下面对i18n标签做分析 跟踪i18n标签name属性在代码中的处理: org.apache.struts2 java.util.HashSet"%> <%@ page contentType=”text/html;charset=UTF-8″ language=”java” %> <%@ taglib prefix=”s” uri=”/struts-tags

    68460

    Apache Struts2远程代码执行漏洞(CVE-2021-31805)安全通告

    事件描述 监测发现,开源应用框架Apache Struts存在远程代码执行漏洞(CVE-2021-31805),攻击者可构造恶意的OGNL表达式触发漏洞,实现远程代码执行。 受影响版本为Apache Struts 2.0.0~2.5.29。目前,该漏洞已在Apache Struts 2.5.30版本中修复。 事件类型:漏洞利用 事件等级:高危 2. 影响范围 远程代码执行漏洞影响范围: 2.0.0<=Apache Struts <= 2.5.29 不受影响版本 Apache Struts >= 2.5.30 3.修补方案 目前漏洞细节和利用代码已公开 1)排查方法: 使用maven打包的项目可通过pom.xml查看当前使用的Struts2版本: 2)处置措施: 目前官方已发布修复补丁,可考虑业务影响性后展开补丁修复工作。 将Apache Struts版本提升至2.5.30 升级步骤以及遇到的问题见: Struts2升级2.5.30的那些坑 https://blog.csdn.net/weixin_44254243

    15820

    关注

    腾讯云开发者公众号
    10元无门槛代金券
    洞察腾讯核心技术
    剖析业界实践案例
    腾讯云开发者公众号二维码

    相关产品

    • 云数据仓库 for Apache Doris

      云数据仓库 for Apache Doris

      云数据仓库Doris(cdwdoris)为您提供基于 MPP(大规模并行处理)架构的云端Doris托管服务,拥有开箱即用,弹性易扩展等特性。云数据仓库 Doris支持标准SQL语言,兼容MySQL协议,支持对PB级的海量数据进行高并发查询,和亚秒级的快速分析,帮助您轻松应对多种ETL数据处理和业务探索场景。

    相关资讯

    热门标签

    活动推荐

    扫码关注腾讯云开发者

    领取腾讯云代金券