今日，Apache Struts发布最新的安全公告，Apache Struts2存在一个远程代码执行漏洞，漏洞编号为S2-057，CVE编号：CVE-2018-11776。在一定条件下，攻击者可以利用该漏洞远程执行代码。该漏洞的综合评级为“高危”

Struts2是Apache软件基金会负责维护的一个基于MVC设计模式的Web应用框架开源项目。

当定义XML配置时，如果namespace值未设置且上层动作配置（Action Configuration）中未设置或用通配符namespace时，可能会导致远程代码执行；当url标签未设置value和action值且上层动作未设置或用通配符namespace时，可能会导致远程代码执行。

 

安全建议

漏洞影响版本：Struts 2.3 to 2.3.34；Struts 2.5 to 2.5.16

 

具体修复建议如下：

1、目前官方已发布补丁，用户可升级至版本2.3.35或2.5.17。

注：这两个版本仅仅只是更新了安全补丁，不存在兼容性问题。

2、临时解决方案：当上层动作配置中未设置或使用通配符namespace时，验证所有XML配置中的namespace，同时在JSP中验证所有url标签的value和action。

漏洞公告发布后，创宇盾安全专家第一时间进行响应。经确认，知道创宇云安全旗下云防御平台 创宇盾 无须升级安全策略即可有效拦截利用该漏洞的攻击。