Struts2 S2-062远程代码执行漏洞 1. 基本概念 Struts2 S2-062远程代码执行漏洞(CVE-2021-31805)是Apache Struts2框架中的一个严重安全漏洞。该漏洞允许攻击者通过构造恶意的HTTP请求,利用Struts2框架中的OGNL(Object-Graph Navigation Language)表达式注入漏洞,执行任意代码,从而完全控制受影响的服务器。 2. 产生原因...
近日,沈阳网络安全协会信息通报机制合作单位新华三集团(H3C)提醒,Apache Struts官方发布了一则S2-062远程代码执行漏洞的安全公告,漏洞编号为: CVE-2021-31805,成功利用此漏洞可对受害主机进行远程代码执行。 1漏洞综述 1.1 漏洞背景 Apache Struts2是美国Apache软件基金...
此次Apache Struts2 漏洞为CVE-2020-17530( S2-061 )的修复不完整,导致输入验证不正确。 如果开发人员使用%{…} 语法进行强制 OGNL 解析,仍有一些特殊的 TAG 属性可以执行二次解析。对不受信任的用户输入使用强制 OGNL 解析可能会导致远程代码执行。 二、漏洞原理 开发人员使用%{…} 语法进行强制 OGNL 解析,有...
近日，Apache官方发布安全通告，披露了其Struts2框架存在远程代码执行漏洞，漏洞编号CVE-2021-31805 。该漏洞的产生原因是一个更早漏洞CVE-2020-17530的修复不完全。CVE-2020-17530漏洞是由于Struts2会对某些标签属性（比如ID）的属性值进行二次表达式解析，因此当这些标签属性中使用了%{x}且x值用户可控时，用户再传入...
1.漏洞描述 该漏洞由于对CVE-2020-17530的修复不完整造成的,CVE-2020-17530漏洞是由于Struts2 会对某些标签属性(比如id) 的属性值进行二次表达式解析,因此当这些标签属性中使用了 %{x} 且 其中x 的值用户可控时,用户再传入一个 %{payload} 即可造成OGNL表达式执行。在CVE-2021-31805漏洞中,仍然存在部分标签属性...
近日,Apache官方发布安全通告,披露了其Struts2框架存在远程代码执行漏洞,漏洞编号CVE-2021-31805 。 该漏洞的产生原因是一个更早漏洞CVE-2020-17530的修复不完全。CVE-2020-17530漏洞是由于Struts2会对某些标签属性(比如ID)的属性值进行二次表达式解析,因此当这些标签属性中使用了%{x}且x值用户可控时,用户再传入一...
近日,Apache官方发布了Apache Struts2的风险通告,漏洞编号为CVE-2021-31805。Apache Struts2是一个用于开发JavaEE网络应用程序的开放源代码网页应用程序框架。 此次CVE-2021-31805(S2-062)是由于CVE-2020-17530(S2-061)修复不完整造成的。 利用范围 2.0.0 <= Apache Struts2 <= 2.5.29 ...
2022年04月12日,Apache官方发布了Apache Struts2的风险通告,漏洞编号为CVE-2021-31805,漏洞等级:高危,漏洞评分:8.5。
二、s2-062漏洞概况 该漏洞是由于 2020 年 S2-061(CVE-2020-17530)的不完整修复造成的,当开发人员使用了%{…}语法进行强制OGNL解析时,仍有一些特殊的TAG属性可被二次解析,攻击者可构造恶意的OGNL表达式触发漏洞,从而实现远程代码执行。 三、漏洞复现
攻击者可构造恶意请求触发漏洞，在目标服务器上实现远程代码执行。修复建议 方案一：请将YXLink WAF 的规则库升级至：12.11.26.88下载链接：https://www.yxlink.com/index_productservice_index.html 方案二：Apache官方发布安全通告，修复了其Web应用程序框架Struts2一处远程代码执行漏洞S2-062（CVE-2021-31805）。...