一、漏洞概要
漏洞名称 | Apache Struts 2 任意文件上传漏洞(S2-067)(CVE-2024-53677) |
发布时间 | 2024年12月12日 |
组件名称 | Apache-Struts2 |
影响范围 | 2.0.0 ≤ Apache Struts 2 ≤ 2.3.37 |
漏洞类型 | 任意文件上传 |
利用条件 | 1、用户认证：不需要用户认证 2、前置条件：默认配置 3、触发方式：远程 |
综合评价 | |
官方解决方案 | 已发布 |
二、漏洞分析
2.1 组件介绍
Apache Struts 是一个免费的开源 MVC 框架，用于创建优雅的现代 Java Web 应用程序。它支持约定优于配置，可使用插件架构进行扩展，并附带支持 REST、AJAX 和 JSON 的插件。
2.2 漏洞描述
2024年12月12日，深瞳漏洞实验室监测到一则Apache-Struts2组件存在任意文件上传漏洞的信息，漏洞编号：CVE-2024-53677，漏洞威胁等级：严重。
Apache Struts 2存在一个严重的文件上传导致远程代码执行漏洞S2-067，未经授权的攻击者可以操纵文件上传参数来启用路径遍历，可导致上传可用于执行远程代码的恶意文件。
注意：不使用FileUploadInterceptor模块的应用不受该漏洞影响。
三、影响范围
目前受影响的Apache-Struts2版本：
2.0.0 ≤ Apache Struts 2 ≤ 2.3.37
2.5.0 ≤ Apache Struts 2 ≤ 2.5.33
6.0.0 ≤ Apache Struts 2 ≤ 6.3.0.2
官方修复建议
官方已发布最新版本修复该漏洞，建议受影响用户将Apache Struts 2更新到6.4.0及以上版本或将项目升级到最新的文件上传机制。