Struts2爆高危漏洞 多行业成漏洞重灾区

　关注网络安全的朋友们，想必最近两天已经被一个高危漏洞刷屏，其来势汹汹让不少网络安全圈内人士咋舌。近日，多家网络安全公司发现并曝光了全球最为流行的Java Web服务器框架之一的Apache Struts2存在漏洞。而这一漏洞最终也被Struts2官方确认，其漏洞编号为S2-045，CVE编号：cve-2017-5638，并将其定级为高危漏洞。

　　Struts2目前被广泛应用于政府、金融、教育、互联网以及行业机构中，换句话说，这些相关机构均属于此次Struts2高危漏洞的重灾区。而其影响系统及版本也涵盖了Struts 2.3.5 - Struts 2.3.31、以及truts 2.5 - Struts 2.5.10，其影响范围之广令人唏嘘。

　　本次漏洞的曝光在业界引起了不小的波动，如果您个人乃至公司的业务受其影响，那必要的防护措施是必不可少的，毕竟网络安全无小事。在漏洞被曝光的第一时间内，各大网络安全厂商纷纷给出了应对方式，对此小编也对各种处理方式进行了相关汇总：

　　1、修改启动虚拟机相关选项，修改Struts 2上传文件时的上传解析器为非Jakarta;Struts 2默认用Jakarta的Common-FileUpload的文件上传解析器，这是存在漏洞的，默认为以下配置：struts.multipart.parser=jakarta;指定其他类型的解析器，以使系统避免漏洞的影响;指定使用COS的文件上传解析器struts.multipart.parser=cos或指定使用Pell的文件上传解析器struts.multipart.parser=pell。

　　2. 修复Jakarta文件上传插件或者是存在漏洞的Struts 2版本请升级至Struts2安全版本，譬如将其更新至Struts2.3.32 或者Struts 2.5.10.1。

　　3. 通过Servlet过滤器验证Content-Type值。

　　4. 添加waf规则进行拦截恶意攻击。

　　当然除此之外，使用第三方的防护设备进行防护也不失为一个不错的选择。诸如安恒、360企业安全、绿盟、等多家网络安全厂商及安全机构均给出了相关的应对方式及防护工具。