【漏洞公告】CVE-2017-5638:基于 Jakarta plugin插件的Struts远程代码执行漏洞(S2-045)
Apache Struts 2被曝存在远程命令执行漏洞，漏洞编号S2-045，CVE编号CVE-2017-5638，在使用基于Jakarta插件的文件上传功能时，有可能存在远程命令执行，导致系统被黑客入侵。
有关该漏洞详情如下：
漏洞编号：
CVE-2017-5638
漏洞名称：
基于 Jakarta plugin插件的Struts 远程代码执行漏洞
官方评级：
高危
漏洞描述:
该漏洞是由于上传功能的异常处理函数没有正确处理用户输入的错误信息，导致远程攻击者可通过修改HTTP请求头中的Content-Type值，构造发送恶意的数据包，利用该漏洞进而在受影响服务器上执行任意系统命令。
漏洞利用条件和方式：
黑客通过 Jakarta 文件上传插件实现 远程利用该漏洞执行代码。
漏洞影响范围：
- Struts 2.3.5 - Struts 2.3.31
- Struts 2.5 - Struts 2.5.10
漏洞修复建议(或缓解措施)：
- Struts 2默认用Jakarta的Common-FileUpload的文件上传解析器，这是存在漏洞的，默认为以下配置：struts.multipart.parser=jakarta，指定其他类型的解析器，以使系统避免漏洞的影响，指定使用COS的文件上传解析器struts.multipart.parser=cos或指定使用Pell的文件上传解析器
- 阿里云建议您升级Struts 到Struts 2.3.32 或 Struts 2.5.10.1 版本
- 阿里云云盾WAF已经支持该漏洞防御，点击查看“云盾WAF介绍 ”
提醒：在升级前请做好快照备份。
情报来源：
- https://cwiki.apache.org/confluence/display/WW/S2-045?from=groupmessage&isappinstalled=0
阿里云整套安全产品和服务 云盾 ： 集阿里巴巴集团多年来安全技术研究积累的成果，同时结合阿里云计算平台强大的数据分析能力
最热活动：云产品5折起
展开
收起
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
相关问答
