漏洞预警 | 斗象科技发现高危Struts2 showcase远程代码执行漏洞（S2-048）

漏洞预警 | 斗象科技发现高危Struts2 showcase远程代码执行漏洞（S2-048）

在线检测

斗象科技旗下产品网藤风险感知（www.riskivy.com）已率先支持该漏洞检测，您可以立即点击试用    

漏洞编号

CVE-2017-9791

S2-048

漏洞影响

使用 Struts 1 plugin 和 Struts 1 action 的Struts 2.3.x

漏洞概述

Apache Struts是美国阿帕奇（Apache）软件基金会负责维护的一个开源项目，是一套用于创建企业级Java Web应用的开源MVC框架。在Struts 2.3.x 系列的 Showcase 应用中演示Struts2整合Struts 1 的插件中存在一处任意代码执行漏洞。当你的应用使用了Struts2 Struts1的插件时，可能导致不受信任的输入传入到ActionMessage类中导致命令执行。

解决方案

1.不要启用Struts2-struts1-plugin插件；

2.不要使用showcase.war；

3.始终使用资源键，而不是将原始消息传递给ActionMessage，如下所示，而不要直接传递原始值：

messages.add("msg", new ActionMessage("struts1.gangsterAdded", gform.getName()));

而不是这样：

messages.add("msg", new ActionMessage("Gangster " + gform.getName() + " was added"));