Apache Struts最新漏洞 遠程代碼執行漏洞預警 2018年11月08日

2018年11月8日，SINE安全監控檢測中心，檢測到Apache Struts官方更新了一個Struts漏洞補丁，這個漏洞是Apache Struts目前最新的漏洞，影響範圍較廣，低於Apache Struts 2.3.35的版本都會受到這次Struts漏洞的攻擊，目前apache官方更新的漏洞補丁，主要是修復commonsfileupload上傳庫出現的安全問題，這個庫能夠遠程執行代碼，上傳木馬後門到網站服務器中去。

Apache Struts 漏洞描述

某知名的安全組織向Apache Struts官方反饋了該漏洞的詳細細節，其中就包括了以前版本出現的漏洞都是由於commons fileupload上傳庫而致使產生的口袋，目前的apache版本都在使用低版本的commons fileupload庫，大多數都默認使用，致使攻擊者能夠利用上傳漏洞，進行遠程代碼執行，提權，攻擊服務器。Apache Struts 2.5.10以上的高版本，不受這次漏洞的影響。

Apache Struts漏洞級別 嚴重

Apache Struts 安全建議：

升級Apache Struts版本的到2.5.18以上的版本

升級Struts的上傳庫，commons fileupload的版本到最新版本1.3.3，Struts commons

fileupload

fileupload/download_fileupload.cgi

第三個安全建議：有些項目的開發與設計，可能牽扯到兼容性的問題，致使Apache Struts 不能直接升級到最新版本，這樣的狀況須要客戶直接在Apache Struts 配置文件裏修改安全參數，

參數以下：

<dependency>

<groupId>commons-fileupload</groupId>

<artifactId>commons-fileupload</artifactId>

<version>1.3.3</version>

</dependency>

若是對Apache Struts不是太熟悉的話，也能夠直接使用CDN的防禦系統，在CDN端作安全過濾，檢測到Apache Struts攻擊的時候，直接CDN前端攔截，前提是保障服務器的源IP不被暴露，防止攻擊者利用host域名綁定來直接攻擊服務器。