Apache Struts2 曝任意代码执行漏洞 (S2-045,CVE-2017-5638)

上次曝Struts 2的漏洞已经是半年多以前的事情了。这次的漏洞又是个RCE远程代码执行漏洞。

简单来说，基于Jakarta Multipart解析器进行文件上传时，利用漏洞可进行远程代码执行。

该漏洞由安恒信息Nike Zheng上报。

Apache Struts是美国阿帕奇（Apache）软件基金会负责维护的一个开源项目，是一套用于创建企业级Java Web应用的开源MVC框架。

漏洞编号

CVE-2017-5638

漏洞简介

Struts使用的Jakarta解析文件上传请求包不当，当远程攻击者构造恶意的Content-Type，可能导致远程命令执行

影响范围

Struts 2.3.5 – Struts 2.3.31

Struts 2.5 – Struts 2.5.10

修复方案

如果你正在使用基于Jakarta的文件上传Multipart解析器，请升级到Apache Struts 2.3.32或2.5.10.1版；或者也可以切换到不同的实现文件上传Multipart解析器。

• 参考来源：Apache，转载请注明来自FreeBuf.COM。

说到网站攻击，网站遭受黑客攻击，以及网站打不开，网站被CC攻击，网站被DDOS攻击，网站被挂木马等，小编建议可以使用我们的悬镜服务器卫士。

悬镜服务器卫士是一款针对Linux服务器防黑加固的，上万网站站长都在使用我们的软件，下载地址：http://www.xmirror.cn/

欢迎大家关注悬镜安全实验室公众号，最新安全动态，技术干货，悬镜使用攻略。在使用悬镜服务器卫士的过程中，如遇到任何问题,随时和我们的客服MM沟通。