S2-020 Struts ClassLoader Manipulation安全限制繞過(CVE-2014-0094)

受影響系統： 
Apache Group Struts 2.x 
描述： 
-------------------------------------------------------------------------------- 
BUGTRAQ  ID: 65999 
CVE(CAN) ID: CVE-2014-0094

Struts2 是第二代基於Model-View-Controller (MVC)模型的java企業級web應用框架。

Apache Struts versions 2.0.0-2.3.16版本的默認上傳機制是基於Commons FileUpload 1.3版本的，該版本在實現上存在拒絕服務漏洞，附加的ParametersInterceptor容許訪問 'class' 參數（該參數直接映射到getClass()方法），並容許控制ClassLoader。

<*來源：Mark Thomas 
        Przemyslaw Celej 
  
  連接： https://struts.apache.org/release/2.3.x/docs/s2-020.html 
*>

建議： 
-------------------------------------------------------------------------------- 
臨時解決方法：

升級commons-fileupload。對於基於Maven的Struts 2項目，須要排除 'class' 參數（將 '^class\.*'添加到excludeParams列表內）。

廠商補丁：

Apache Group 
------------ 
Apache Group已經爲此發佈了一個安全公告（S2-020）以及相應補丁: 
S2-020：S2-020 
連接： https://struts.apache.org/release/2.3.x/docs/s2-020.html 
補丁下載： http://struts.apache.org/download.cgi#struts23161

Struts 的詳細介紹 ：請點這裏 
Struts 的下載地址 ：請點這裏