Struts 2 远程代码执行漏洞（CVE-2018-11776）

发布日期：2018-08-22
更新日期：2018-08-28

受影响系统：

Apache Group Struts2 2.5.0 - 2.5.16
Apache Group Struts2 2.3.0 - 2.3.34

描述：

---

BUGTRAQ  ID: 105125
CVE(CAN) ID: CVE-2018-11776

Apache Struts是是一套用于创建企业级Java Web应用的开源MVC框架，主要提供两个版本框架产品，Struts 1和Struts 2。Apache Struts 2是Apache Struts的下一代产品，是在Struts 1和WebWork的技术基础上进行了合并的全新Struts 2框架，其体系结构与Struts 1差别较大

Apache Struts2 2.3.0 - 2.3.34、2.5.0 - 2.5.16版本在实现上存在远程代码执行漏洞，该漏洞可能在两种情况下被触发，第一，当没有为底层xml配置中定义的结果设置namepace 值，并且其上层动作集配置没有或只有通配符命名空间值，可能构成 RCE攻击。第二，当使用没有 value和动作集的url标签时，并且其上层动作集配置没有或只有通配符命名空间值，也可能构成 RCE 攻击。

<*来源：vendor
        Man Yue Mo （<mmo at semmle dot com> (lgtm.com / Semmle)）
 
  链接：https://cwiki.apache.org/confluence/display/WW/S2-057
*>

建议：

---

厂商补丁：

Apache Group
------------
请尽快升级至 Apache Struts version 2.3.35 或者 2.5.17。
最新版本下载链接：
http://struts.apache.org/download.cgi