• 发布时间 2024-12-13
• 更新时间 2024-12-13
• 漏洞等级 High
• CVE编号 CVE-2024-53677

漏洞详情

Apache Struts2发布安全公告,披露了一个文件上传限制不当漏洞,该漏洞是由于Apache Struts2 中的文件上传中存在逻辑缺陷,未经授权的攻击者可以操纵文件上传参数来启用路径遍历,上传可用于执行远程代码的恶意文件,漏洞影响启用了FileUploadInterceptor模块的应用,不启用FileUploadInterceptor模块的应用不受该漏洞影响,鉴于漏洞影响较大,建议受影响用户及时采取防护措施。
影响范围
Struts 2.0.0 - Struts 2.3.37 (EOL)
Struts 2.5.0 - Struts 2.5.33
Struts 6.0.0 - Struts 6.3.0.2

修复方案

注意：安装升级前，请做好数据备份、快照和测试工作，防止发生意外
1、针对此漏洞,官方已经发布了漏洞修复版本,请立即更新到安全版本：Apache Struts 2 >= 6.4.0
安装后,必须重写业务代码才能开始使用新的操作文件上传机制和相关的拦截器,继续使用旧的文件上传机制依然容易受到攻击。
文件上传机制业务代码链接:https://struts.apache.org/core-developers/action-file-upload
上述操作完成后,建议您进行全面测试以验证漏洞已被彻底修复,并确保系统其他功能正常运行。
2、使用UCloud WAF进行安全防御;
3、通过安装UCloud hids 检测发现攻击者上传的恶意文件；

参考链接

https://cwiki.apache.org/confluence/display/WW/S2-067