Apache Struts2 存在远程代码执行漏洞 (CVE-2023-50164)

漏洞类型 对外部实体的文件或目录可访问 发现时间 2023-12-07 漏洞等级 严重
MPS编号 MPS-5qa9-hjgt CVE编号 CVE-2023-50164 漏洞影响广度 广

漏洞危害

OSCS 描述
Apache Struts是美国阿帕奇(Apache)基金会的开源Web项目,是一套用于创建企业级Java Web应用的开源MVC框架。
在受影响版本中,由于对HTTP请求参数名称的大小写校验处理不当,攻击者可能控制文件上传参数从而导致路径遍历,从而上传恶意文件到服务器并被用于远程代码执行。
参考链接:https://www.oscs1024.com/hd/MPS-5qa9-hjgt

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.struts:struts2-core [2.5.0, 2.5.33) 升级 将组件 org.apache.struts:struts2-core 升级至 2.5.33 及以上版本
org.apache.struts:struts2-core [6.0.0, 6.3.02) 升级 将组件 org.apache.struts:struts2-core 升级至 6.3.02 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-5qa9-hjgt

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-5qa9-hjgt

https://nvd.nist.gov/vuln/detail/CVE-2023-50164

https://cwiki.apache.org/confluence/display/WW/S2-066

https://github.com/apache/struts/commit/d8c69691ef1d15e76a5f4fcf33039316da2340b6

https://github.com/apache/struts/commit/162e29fee9136f4bfd9b2376da2cbf590f9ea163

(0)
上一篇 2023年12月7日 下午12:00
下一篇 2023年12月8日 下午2:00

相关推荐

  • vCenter Server 远程代码执行漏洞 (CVE-2023-34048)

    漏洞类型 越界写入 发现时间 2023-10-26 漏洞等级 严重 MPS编号 MPS-b28s-4xal CVE编号 CVE-2023-34048 漏洞影响广度 一般 漏洞危害 OSCS 描述 vCenter Server是一种虚拟化管理软件,用于集中管理和监控VMware虚拟化环境中的多个虚拟机和主机。DCERPC协议是一种远程过程调用协议,能使处于同一…

    2023年10月26日
    0
  • 致远A8前台上传解压漏洞 (MPS-6tdh-8qpu)

    漏洞类型 路径遍历 发现时间 2023-08-22 漏洞等级 高危 MPS编号 MPS-6tdh-8qpu CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 致远A8是一款企业级的办公自动化软件,提供全方位的企业管理解决方案。致远A8协同管理系统在前台上传解压时存在漏洞,攻击者可利用此漏洞直接写入任意文件,进而获取目标系统的控制权限。上…

    2023年8月23日
    0
  • follow-redirects<1.15.4 主机名验证不当漏洞 (CVE-2023-26159)

    漏洞类型 输入验证不恰当 发现时间 2024-01-02 漏洞等级 高危 MPS编号 MPS-2023-5153 CVE编号 CVE-2023-26159 漏洞影响广度 极小 漏洞危害 OSCS 描述 follow-redirects 是用于自动处理 HTTP 和 HTTPS 请求重定向的NPM组件包。 follow-redirects 1.15.4之前版本…

    2024年1月3日
    0
  • GitLab EE 安全扫描策略绕过导致远程代码执行 (CVE-2023-5009)

    漏洞类型 访问控制不当 发现时间 2023-09-20 漏洞等级 严重 MPS编号 MPS-zft4-sq8x CVE编号 CVE-2023-5009 漏洞影响广度 广 漏洞危害 OSCS 描述 GitLab EE 是 GitLab 的企业版本,用于管理软件开发项目、代码版本控制和协作等,Pipeline Jobs 指的是 CI/CD 中的任务。 由于对CV…

    2023年9月21日
    0
  • JeecgBoot <=3.5.1 存在sql注入漏洞 ( CVE-2023-34602)

    漏洞类型 SQL注入 发现时间 2023/6/19 漏洞等级 中危 MPS编号 MPS-okys-m9ai CVE编号 CVE-2023-34602 漏洞影响广度 广 漏洞危害 OSCS 描述 JeecgBoot 是一款开源的基于代码生成的快速开发平台。受影响版本中,由于 SystemApiController#queryTableDictItemsByCo…

    2023年8月31日
    0