記錄一次Struts s2-045重大安全漏洞修復過程

【升級修復】 

受影響用戶可升級版本至Apache Struts 2.3.32 或 Apache Struts 2..5.10.1以消除漏洞影響。
官方公告：https://cwiki..apache.org/confluence/display/WW/S2-045?from=groupmessage&isappinstalled=0
【臨時處理方法】
方式1：修改struts2組件中的default.properties文件，將struts.multipart.parser的值由jakarta更改成pell。
方式2: 經過WAF等過濾方式對Content-Type中入侵的關鍵字：DEFAULT_MEMBER_ACCESS作過濾

解決方式以下

[root@cenos 0310]# ls
struts2-core-2.3.15.1.jar
[root@cenos 0310]# jar xf struts2-core-2.3.15.1.jar 
[root@cenos 0310]# ls
FREEMARKER-LICENSE.txt  META-INF    OGNL-LICENSE.txt  overview.html   struts-2.1.7.dtd  struts-2.3.dtd             struts-default.xml  template
LICENSE.txt             NOTICE.txt  org               struts-2.0.dtd  struts-2.1.dtd    struts2-core-2.3.15.1.jar  struts.vm           XWORK-LICENSE.txt
[root@cenos 0310]# cd org/apache/struts2/
[root@cenos struts2]# ls default.properties 
default.properties
[root@cenos struts2]# vim default.properties 
[root@cenos struts2]# grep 'struts.multipart.parser'  default.properties 
# struts.multipart.parser=cos
# struts.multipart.parser=pell
struts.multipart.parser=pell
[root@cenos struts2]#