继S2-052之后,Apache Struts 2再次被曝存在远程代码执行漏洞,漏洞编号S2-053,CVE编号CVE-2017-1000112。 当开发人员在Freemarker标签中使用错误的构造时,可能会导致远程代码执行漏洞。 影响范围 Struts 2.0.1 - Struts 2.3.33、Struts 2.5 - Struts 2.5.10 不受影响的版本 Struts 2.5.12、Struts 2.3.34 漏洞分析...
一、漏洞描述 Struts2在使用Freemarker模块引擎的时候,同时允许解析OGNL表达式。导致用户输入的数据本身不会被OGNL解析,但是由于被Freemarker解析一次后变成离开一个表达式,被OGNL解析第二次,导致任意命令执行漏洞。 二、漏洞影响版本 Struts 2.0.1-struts 2.3.33 Struts 2.5-Struts 2.5.10 三、漏洞环境搭建 1.使用dock...