CVE-2019-0230 | Apache Struts2远程代码执行缝隙公告
颁布功夫 2020-08-140x00 缝隙概述
|
CVE ID |
CVE-2019-0230 |
时 间 |
2020-08-14 |
|
类 型 |
RCE |
等 级 |
高危 |
|
远程利用 |
是 |
影响领域 |
Apache Struts 2.0.0-2.5.20 |
0x01 缝隙详情
Apache Struts是美国阿帕奇（Apache）软件基金会掌管守护的一个开源项目，是一套用于创建企业级Java Web利用的开源MVC框架。
2020年8月13日，Apache官方颁布布告，建复了一个Apache Struts2远程代码执行缝隙（CVE-2019-0230）。该缝隙源于Struts 2会对某些标签的属性值进行二次表白式解析，当使用%{...} or ${...}语法对标签属性进行强造解析的情况下，OGNL表白式中引用未经验证的用户输入，通过机关恶意的OGNL表白式，导致远程代码执行。
0x02 措置建议
Apache官方已经颁布新版本，请升级到Struts 2.5.22或更高版本，下载地址：
https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.22
一时措施：
1. 将输入参数的值沉新分配给某些Struts的标签属性时，始终对其进行验证；
2. 除非有有效的用例，不然不要在值以表的标签属性中使用％{...}或$ {...}语法引用可批改的输入，参考链接：
https://struts.apache.org/security/#use-struts-tags-instead-of-raw-el-expressions
3. 开启ONGL表白式注入�；�，参考链接：
https://struts.apache.org/security/#proactively-protect-from-ognl-expression-injections-attacks-if-easily-applicable
0x03 有关新闻
0x04 参考链接
https://cwiki.apache.org/confluence/display/WW/S2-059
0x05 功夫线
2020-08-13 Apache官方颁布布告
2020-08-14 VSRC颁布缝隙公告
京公网安备11010802024551号