Apache Struts重现严重漏洞，你强化了吗？

文中都 | 白开水

出品 | OSC开源社区（ID：oschina2013)

Apache Software Foundation 发布了一个公共安全公告 S2-062， 以化解 Struts 2.0.0 到 2.5.29 旧版中都存有的一个远程代码执行正确性；攻击者可以利用此正确性来控制备受影响的该系统。对此，美国网络公共安全和基础设施公共国家安全局 (CISA) 也发布公告敦促组织查看Apache 的公告，并尽快替换到最新的 Struts 2 补丁旧版。

该正确性被跟踪为 CVE-2021-31805，是由于 2020 年 CVE-2020-17530 (S2-061) 的不明晰修整造成的。理论上，这一正确性早在 2020 年就已存有且当时被认为已修整，但事实证明疑问并未完全得到化解。

在 2020 年，GitHub 的研究课题其他部门 Alvaro Munoz 和 Aeye 公共安全实验室的 Masato Anzai 年度报告了Struts 2 旧版 2.0.0 - 2.5.25 在某些情况下存有一个 OGNL 流出正确性，编号为 CVE-2020-17530，在 CVSS 严重性方面获得了 9.8 分（评分 10 分）。

“如果开发者用于 %{...} 语法进行禁止 OGNL 审核，附加的一些特性基本上可以执行双重审核。对不信任的用户输出用于禁止 OGNL 审核可能导致远程代码执行和公共安全机动性下降。”

取向图导航第二语言 (Object-Graph Navigation Language,OGNL) 是一种开源的 Java 函数第二语言，简化了 Java 第二语言中都的函数范围。它被集成在 Struts2 等构建中都，作用是对数据进行回访；握有类型转换、回访取向方法、配置集合取向等功能。

尽管 Apache 在 Struts 2.5.26 中都化解了 2020 年所年度报告的正确性，但研究课题其他部门 Chris McCown 发现，所应用的修整方案非常明晰。他向 Apache 年度报告指，“双重审核”疑问基本上可以在 Struts 旧版 2.5.26 及很高旧版中都复原。

作为化解措施，Apache 方面建言开发其他部门尽量避免 基于不备受信任的用户输出在附加特性中都用于禁止 OGNL 审核，和/或替换到 Struts 2.5.30 或很高旧版，以检查函数审核究竟不会导致双重审核。并建言遵循公共安全指南 以获得最佳有系统。

有奖摘要

你有关于Netty、Java、源码的相关疑问吗？

爱戴前去提问

还有关键技术书籍赠送哦

扫码立即参与摘要

有点不俗，请点个在看呀