【预警通告】Apache Struts2（S2-053） 远程代码执行漏洞 威胁预警通告

最新推荐文章于 2023-11-16 20:06:14 发布
最新推荐文章于 2023-11-16 20:06:14 发布
阅读量1.7k 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zzkk_/article/details/77882841
版权
Apache Struts2存在一个严重的远程代码执行漏洞（S2-053），该漏洞可能导致攻击者在受影响的系统上执行任意代码，对网络安全构成重大威胁。详细受影响的版本信息未在给定内容中提供。
摘要由CSDN通过智能技术生成 
2017年9月7日，Apache Struts发布最新的安全公告，Apache Struts 2 存在一个远程代码执行漏洞，漏洞编号为CVE-2017-12611（S2-053）。该漏洞源于在处理Freemarker标签时，如使程序员使用了不恰当的编码表达会导致远程代码执行。

相关链接如下：https://cwiki.apache.org/confluence/display/WW/S2-053


 
 

受影响版本：


 
 
 
    
  
  • Struts 2.0.1 – Sturts 2.3.33
    • 
  
  • Struts 2.5 – Struts 2.5.10
    • 
 


不受影响的版本


 
 
 
    
  
  • Struts 2.3.34
    • 
  
  • Struts 2.5.12
    • 
 


规避方案

用户应避免在Freemarker的结构代码中使用可写的属性，或者使用只读属性来初始化value属性（仅限getter属性）。

请受影响的用户立即升级到不受影响的版本来防护该漏洞。

参考链接：

Struts 2.5.12:

https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.12

Struts 2.3.34:

https://cwiki.apache.org/confl
最低0.47元/天 解锁文章
zzkk_
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
CVE-2018-2893：Oracle WebLogic Server 远程代码执行漏洞分析预警
07-19
**CVE-2018-2893：Oracle WebLogic Server 远程代码执行漏洞详解** Oracle WebLogic Server 是一款由美国Oracle公司推出的Java EE架构应用服务器，它提供了用于开发、集成、部署和管理大型分布式Web应用、网络应用...
本地复现Struts2-053漏洞
dmra71403的博客
05-14 711
漏洞环境:http://192.168.253.131/ exp: %{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.Actio...
安鸾渗透Struts2 远程命令执行
LHBD_R的博客
09-01 1320
一.Struts2 远程命令执行（S2-005） 简介： struts2漏洞的起源源于S2-003 S2-003对#号进行过滤，但是没有考虑到unicode编码情况，导致\u0023或者8进制\43绕过 S2-005是由于官方在修补S2-003不全面导致绕过补丁造成的 范围： 受影响版本: 低于Struts 2.0.12 漏洞复现： 安鸾渗透：http://www.whalwl.site:8088/login.jsp 了解到该漏...
java struts2 漏洞复现合集
whatday的专栏
08-31 4644
目录 一、S2-001复现 二、S2-005复现 三、S2-007复现 四、S2-008复现 五、S2-009复现 六、S2-012复现 七、S2-013复现 八、S2-015复现 九、S2-016复现 十、S2-045复现 十一、S2-048复现 十二、S2-052复现 十三、S2-053复现 十四、S2-057复现 十五、S2-019复现 十六、S2-devMode 复现 Apache Struts2 是一个基于MVC设计模式的Web应用框架，会对某些标签属性（比如 i
【S2-053】Struts2远程命令执行漏洞（CVE-2017-12611）
Unitue_逆流
10-13 8192
实验环境 操作机：Windows 7IP：172.16.11.2 实验工具XAMPP: 一个功能强大的建站集成软件包 可以实现服务器的功能，但是只能自己访问 Firefox: 中文俗称‘火狐’，一个自由及开放源代码网页浏览器漏洞介绍继S2-052之后，Apache Struts 2再次被曝存在远程代码执行漏洞，漏洞编号S2-053，CVE编号CVE-2017-1000112。当开发人员在Fr
框架/组件漏洞系列1：struts2漏洞汇总
W0ngk，一个安全菜鸡，一直在模仿，尚未有超越。
12-03 9498
前言： 本篇文章中复现的漏洞不是特别全面，但是挑选了最近两年的漏洞进行复现，旨在对漏洞进行有用复现，毕竟一些老漏洞已经基本不存在了。 一、Struts简介 1、简介 基本介绍： Struts是Apache软件基金会（ASF）赞助的一个开源项目。它最初是Jakarta项目中的一个子项目，并在2004年3月成为ASF的顶级项目。它通过采用[Java Servlet](https://baike.baidu.com/item/Java Servlet)/JSP技术，实现了基于[Java EE](https://.
预警事项：Fastjson反序列化远程代码执行漏洞风险预警
05-24
阿里巴巴发布关于Fastjson安全公告，在1.2.80及以下版本中存在反序列化风险。Fastjson是阿里巴巴的开源JSON解析库，可以解析JSON格式的字符串，支持将Java Bean...攻击者利用该漏洞可实现在目标机器上的远程代码执行。
CVE-2019-17571:Apache Log4j 1.2.X存在反序列化远程代码执行漏洞
04-24
CVE-2019-17571/Apache Log4j 1.2.X存在反序列化远程代码执行漏洞 漏洞预警参考链接： 1. 漏洞描述 Apache Log4j是美国阿帕奇（Apache）软件基金会的一款基于Java的开源日志记录工具.Apache Log4j 1.2.X系列版本中...
【渗透测试】Struts2系列漏洞
热门推荐
weixin_53972936的博客
10-29 1万+
Struts是Apache软件基金会（ASF）赞助的一个开源项目。它最初是Jakarta项目中的一个子项目，并在2004年3月成为ASF的顶级项目。它通过采用[Java Servlet](https://baike.baidu.com/item/Java Servlet)/JSP技术，实现了基于[Java EE](https://baike.baidu.com/item/Java EE) Web应用的Model-View-Controller（MVC）设计模式的应用框架，是MVC经典设计模式中的一个经典产品
[旧文系列] Struts2历史高危漏洞系列-part5：S2-052/S2-053/S2-057
mole_exp的博客
01-18 785
文章目录关于<旧文系列>前言S2-052漏洞复现与分析可回显PoC漏洞修复S2-053漏洞复现与分析可回显PoC漏洞修复S2-057漏洞复现与分析可回显PoC漏洞修复Reference 关于<旧文系列> <旧文系列>系列是笔者将以前发到其他地方的技术文章，挑选其中一些值得保留的，迁移到当前博客来。 文章首发于奇安信攻防社区: https://forum.butian.net/share/601 https://forum.butian.net/share/602 htt
java struts漏洞_【重大漏洞预警】Struts2远程代码执行漏洞（S2-053/S2-052）
weixin_36170641的博客
03-04 460
原标题：【重大漏洞预警】Struts2远程代码执行漏洞(S2-053/S2-052)Struts远程代码执行漏洞(S2-053)一、漏洞详情漏洞编号：CVE-2017-12611漏洞等级：中级受影响版本：Struts2.0.1-Struts 2.3.33 Struts 2.5- Struts 2.5.10二、漏洞描述当开发者在使用表达式文字，或在Freemarker标签(见下方)下使用强制表达式时...
Strus2 系列漏洞
最新发布
SHELLCODE_8BIT的博客
11-16 404
Strusts 中使用 OGNL 为表达式语言。OGNL(Object Graphic Navigation Language) 对象图导航语言，通过简单语句可以任意读取对象的属性或调用对象的方法，遍历整个对象的结构图，实现对象属性类型的转换等功能。Struts2 的标签库都是使用 OGNL 表达式来访问 ActionContext 中的对象数据。
S2-053 远程代码执行漏洞
玄道的网安博客
06-30 695
影响版本 Struts 2.0.1 - Struts 2.3.33, Struts 2.5 - Struts 2.5.10 环境搭建 cd vulhub/struts2/s2-053 docker-compose up -d 环境运行后，访问http://your-ip:8080/hello.action即可看到一个提交页面。 漏洞复现 Struts2在使用Freemarker模板引擎的时候，同时允许解析OGNL表达式。导致用户输入的数据本身不会被OGNL解析，但由于被Freemark
【web攻防】安鸾靶场开发框架Struct2远程命令执行 Struct2-S2-005/S2-053远程代码执行漏洞 靶场实战+学习记录
AAAAAAAAAAAA66的博客
02-15 3930
struct2 远程命令执行01 随便输入一个 k8工具连接 上传冰蝎自带马 冰蝎连接 Struct2远程命令执行02 漏洞地址 http://106.15.50.112:8027/hello.action 漏洞POC %{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymp...
[ vulhub漏洞复现篇 ] struts2远程代码执行漏洞s2-053（CVE-2017-12611）
qq_51577576的博客
12-12 617
[ vulhub漏洞复现篇 ] struts2远程代码执行漏洞s2-053（CVE-2017-12611） Struts2在使用Freemarker模块引擎的时候,同时允许解析OGNL表达式。导致用户输入的数据本身不会被OGNL解析,但是由于被Freemarker解析一次后变成离开一个表达式,被OGNL解析第二次,导致任意命令执行漏洞。 当开发人员在Freemarker标签中使用错误的构造时，可能会导致远程代码执行漏洞。
【S2-053】漏洞复现
2201_75873133的博客
03-13 241
然后再框中重新输入（注意换成自己ip）然后Linux成功反弹shell。1.在输入框中写入以下内容。将id换成自己的IP。
S2-053远程代码执行漏洞
Snowflake1997的博客
03-18 319
首先进入漏洞环境 构造所需漏洞 docker-compose up -d 在浏览器中登录 http://your-ip:8080/hello.action %{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognl
S2-045之不能再当脚本小子之格物致知之知行合一
shy的博客
03-05 484
发现奇怪告警 Accept: text/html, image/gif, image/jpeg, *; q=.2, */*; q=.2 Content-Type: {\u0028\u0023\u006e\u0069\u006b\u0065\u003d\u0027multipart/form-data\u0027\u0029\u002e\u0028\u0023\u0064\u006d\u003d\u0040\u006f\u0067\u006e\u006c\u002e\u004f\u0067\u006e\u
Struts2安全预警：四大漏洞详解，包括远程代码执行风险
本文主要讨论了Apache Struts2框架中的四个关键安全漏洞，这些漏洞涉及到远程代码执行，其中两个已经得到了广泛的关注。首先，我们关注的是在Struts 版本中的ExceptionDelegator漏洞，这个漏洞由于之前在我的博客中...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值