【误差通告】Apache Struts2远程代码执行误差（CVE-2021-31805）

宣布时间 2022-04-13


0x00 误差概述

CVE   ID

CVE-2021-31805

时    间

2022-04-12

类    型

RCE

等    级

高危

远程使用

是

影响规模

Apache Struts 2.0.0-2.5.29

攻击重漂后


用户交互


PoC/EXP

            已果真

在野使用


 

0x01 误差详情

Apache Struts2是一个基于MVC设计模式的盛行的Web应用程序框架 。。。。。。

4月12日，，，Apache Struts2宣布清静通告（S2-062），，，修复了Apache Struts2中的一个远程代码执行误差（CVE-2021-31805） 。。。。。。

由于对CVE-2020-17530的修复不完整，，，在Apache Struts 2.0.0-2.5.29中，，，若是开发职员使用 %{...} 语法应用强制 OGNL 剖析，，，标签的某些属性仍然可被二次剖析 。。。。。。当对标签属性中未履历证的原始用户输入举行剖析时可能会导致远程代码执行 。。。。。。

此误差的PoC/EXP已果真，，，建议相关用户尽快修复 。。。。。。验证如下：

image.png


影响规模

Apache Struts 2.0.0-2.5.29

 

0x02 清静建议

现在此误差已经修复，，，建议受影响用户实时升级更新到Apache Struts 2.5.30或更高版本 。。。。。。

下载链接：

https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.30

缓解步伐：

阻止对不受信任或未履历证的用户输入使用强制 OGNL 剖析 。。。。。。

 

0x03 参考链接

https://cwiki.apache.org/confluence/display/WW/S2-062

https://www.mail-archive.com/announce@apache.org/msg07237.html

 

0x04 版本信息

版本

日期

修改内容

V1.0

2022-04-13

首次宣布

V1.0

2022-04-15

新增误差验证信息


0x05 附录

百乐博简介

百乐博公司建设于1996年，，，并于2010年6月23日在深交所中小板正式挂牌上市，，，是海内极具实力的、拥有完全自主知识产权的网络清静产品、可信清静治理平台、清静效劳与解决计划的综合提供商 。。。。。。

公司总部位于北京市中关村软件园，，，在天下各省、市、自治区设有分支机构，，，拥有笼罩天下的渠道系统和手艺支持中心，，，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心 。。。。。。

多年来，，，百乐博致力于提供具有国际竞争力的自主立异的清静产品和最佳实践效劳，，，资助客户周全提升其IT基础设施的清静性和生产效能，，，为打造和提升国际化的民族信息清静工业领军品牌而不懈起劲 。。。。。。


关于百乐博

百乐博清静应急响应中心主要针对主要清静误差的预警、跟踪和分享全球最新的威胁情报和清静报告 。。。。。。

关注以下公众号，，，获取全球最新清静资讯：

image.png