Apache Struts2发布漏洞公告

在jsp商城开发以及java商城开发中中通过采用JavaServlet/JSP技术，实现了基于Java EE Web应用的MVC设计模式的应用框架，是MVC经典设计模式中的一个经典产品，也是国际上应用最广泛的Web应用框架之一。java商城开发中的网上银行、政府网站、主要门户网站都大量使用Struts。 
近日，Apache Struts2发布漏洞公告，声称Struts2应用框架出现一个高危漏洞。同时发布的，还有漏洞补丁包(最新版本为：2.3.15.1)和黑客攻击尝试验证代码。 
经国内网站安全服务商SCANV.COM确认，该漏洞可以影响到Struts 2.0.0 - Struts 2.3.15的所有版本。攻击者可以利用该漏洞，执行恶意Java代码，最终导致网站被完全入侵控制，从而数据被窃取、网页被篡改等严重后果。 
从2013年7月17日开始到7月18日，国内漏洞平台Wooyun上确认被此漏洞攻陷的网站数量急剧上升，连续两天高烧不退，国内互联网一片腥风血雨。与此同时，漏洞的利用代码已在不断被强化，可直接通过浏览器的提交对服务器进行任意操作并获取敏感内容。 
目前国内网站安全服务商SCANV已在其官方站长工具栏(http://www.scanv.com/tools/)提供了该漏洞的检测服务，使用Struts框架的网站运维人员可以验证一下自己的网站是否存在该漏洞。

Apache Struts2发布漏洞公告

时间： 2024-11-07 09:35:25

Apache Struts2发布漏洞公告的相关文章

Apache Struts2高危漏洞（S2-057CVE-2018-11776）

花了两天时间,特此记录 一:背景: 2018年8月22日,Apache Strust2发布最新安全公告,Apache Struts2存在远程代码执行的高危漏洞. 二:漏洞产生原理: 1.需要知道对应跳转请求的action名称 2.Struts2框架中的属性设置为: 1) struts.mapper.alwaysSelectFullNamespace = true 2) type = "redirectAction"或 type = "chain" 三:恶意代码运行过

漏洞预警 | Apache Struts2 曝任意代码执行漏洞 (S2-045)

近日,Apache官方发布Apache Struts 2.3.5–2.3.31版本及2.5–2.5.10版本存在远程代码执行漏洞(CNNVD-201703-152 ,CVE-2017-5638)的紧急漏洞公告.该漏洞是由于上传功能的异常处理函数没有正确处理用户输入的错误信息,导致远程攻击者可通过发送恶意的数据包,利用该漏洞在受影响服务器上执行任意命令. 漏洞危害 攻击者可在HTTP请求头部中的Content-Type字段构造恶意代码利用该漏洞,在受影响服务器上执行系统命令,进一步可完全控制该服务

我为什么支持高校的信息系统放弃Apache Struts2框架（五）

月初听闻广东某高校(中山大学)发布通知:关于停止使用Apache Struts2开发框架的通知 鉴于S2漏洞较多.维护难度较大,为防范控制网络安全风险,经研究决定,新建信息化项目不得使用S2: 在用S2的信息系统(网站)应尽快转用其他更安全的MVC框架(如Spring MVC等):从即日起,使用S2的信息系统(网站)将仅限校园网内访问. 作为信息安全爱好者,个人对学校的决定是举双手支持的,Struts 2框架在安全方面似乎有着与生俱来的缺陷,与同类开源项目相比,它的问题是在是太多了.下面说一下我

我为什么支持高校的业务系统放弃Apache Struts2框架（四）

月初听闻广东某高校(中山大学)发布通知:关于停止使用Apache Struts2开发框架的通知 鉴于S2漏洞较多.维护难度较大,为防范控制网络安全风险,经研究决定,新建信息化项目不得使用S2: 在用S2的信息系统(网站)应尽快转用其他更安全的MVC框架(如Spring MVC等):从即日起,使用S2的信息系统(网站)将仅限校园网内访问. 作为信息安全爱好者,个人对学校的决定是举双手支持的,Struts 2框架在安全方面似乎有着与生俱来的缺陷,与同类开源项目相比,它的问题是在是太多了.下面说一下我

[原创]K8 Struts2 Exp 20170310 S2-045(Struts2综合漏洞利用工具)

工具: K8 Struts2 Exploit组织: K8搞基大队[K8team]作者: K8拉登哥哥博客: http://qqhack8.blog.163.com发布: 2014/7/31 10:24:56 简介: K8 Struts2 综合漏洞利用工具 (Apache Struts Remote Code Execution Exploit)Struts2漏洞检测工具   Struts2漏洞测试工具  K8 struts2 exploit Test  Struts2 GetShell支持漏洞

我为什么支持高校的业务系统放弃Apache Struts2框架（二）

月初听闻广东某高校(中山大学)发布通知:关于停止使用Apache Struts2开发框架的通知 鉴于S2漏洞较多.维护难度较大,为防范控制网络安全风险,经研究决定,新建信息化项目不得使用S2: 在用S2的信息系统(网站)应尽快转用其他更安全的MVC框架(如Spring MVC等):从即日起,使用S2的信息系统(网站)将仅限校园网内访问. 作为信息安全爱好者,个人对学校的决定是举双手支持的,Struts 2框架在安全方面似乎有着与生俱来的缺陷,与同类开源项目相比,它的问题是在是太多了.下面说一下我

我为什么支持高校的业务系统放弃Apache Struts2框架（三）

月初听闻广东某高校(中山大学)发布通知:关于停止使用Apache Struts2开发框架的通知 鉴于S2漏洞较多.维护难度较大,为防范控制网络安全风险,经研究决定,新建信息化项目不得使用S2: 在用S2的信息系统(网站)应尽快转用其他更安全的MVC框架(如Spring MVC等):从即日起,使用S2的信息系统(网站)将仅限校园网内访问. 作为信息安全爱好者,个人对学校的决定是举双手支持的,Struts 2框架在安全方面似乎有着与生俱来的缺陷,与同类开源项目相比,它的问题是在是太多了.下面说一下我

我为什么支持高校的业务系统放弃Apache Struts2框架（一）

月初听闻广东某高校(中山大学)发布通知:关于停止使用Apache Struts2开发框架的通知 鉴于S2漏洞较多.维护难度较大,为防范控制网络安全风险,经研究决定,新建信息化项目不得使用S2: 在用S2的信息系统(网站)应尽快转用其他更安全的MVC框架(如Spring MVC等):从即日起,使用S2的信息系统(网站)将仅限校园网内访问. 作为信息安全爱好者,个人对学校的决定是举双手支持的,Struts 2框架在安全方面似乎有着与生俱来的缺陷,与同类开源项目相比,它的问题是在是太多了.下面说一下我

Eclipse配置Struts2问题：ClassNotFoundException: org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilter

使用ssh搭建web项目,但是环境配置好后,挂载到tomcat服务器上就出现此异常 根据错误提示,意思是找不到org.apache.struts2.dispatcher.ng.filter.StrutsPrepareAndExecuteFilter,一开始以为在web.xml文件中配置错误,于是找到类名复制粘贴(右击copy qualified name),保存重新运行,依然出现同样的错误,说明路径拼写没有问题. 最后我思路是在创建web项目中,WEB-INF的lib文件夹下面build pat