Apache Struts 2 任意文件上传漏洞(S2-067)(CVE-2024-53677)
日期:2024-12-14 15:56:53  发布人:信息化建设中心  浏览量:4

一、漏洞概要

漏洞名称

Apache Struts 2 任意文件上传漏洞(S2-067)(CVE-2024-53677)

发布时间

2024年12月12日

组件名称

Apache-Struts2

影响范围

2.0.0 ≤ Apache Struts 2 ≤ 2.3.37
2.5.0 ≤ Apache Struts 2 ≤ 2.5.33
6.0.0 ≤ Apache Struts 2 ≤ 6.3.0.2

漏洞类型

任意文件上传

利用条件

1、用户认证:不需要用户认证

2、前置条件:默认配置

3、触发方式:远程

综合评价

官方解决方案

已发布


二、漏洞分析

2.1 组件介绍

Apache Struts 是一个免费的开源 MVC 框架,用于创建优雅的现代 Java Web 应用程序。它支持约定优于配置,可使用插件架构进行扩展,并附带支持 REST、AJAX 和 JSON 的插件。

2.2 漏洞描述

2024年12月12日,深瞳漏洞实验室监测到一则Apache-Struts2组件存在任意文件上传漏洞的信息,漏洞编号:CVE-2024-53677,漏洞威胁等级:严重。

Apache Struts 2存在一个严重的文件上传导致远程代码执行漏洞S2-067,未经授权的攻击者可以操纵文件上传参数来启用路径遍历,可导致上传可用于执行远程代码的恶意文件。
注意:不使用FileUploadInterceptor模块的应用不受该漏洞影响。


三、影响范围

目前受影响的Apache-Struts2版本:

2.0.0 ≤ Apache Struts 2 ≤ 2.3.37

2.5.0 ≤ Apache Struts 2 ≤ 2.5.33

6.0.0 ≤ Apache Struts 2 ≤ 6.3.0.2

官方修复建议

官方已发布最新版本修复该漏洞,建议受影响用户将Apache Struts 2更新到6.4.0及以上版本或将项目升级到最新的文件上传机制。


 

联系电话:023-42464987 重庆人文科技学院信息化建设中心 版权所有