AG公司云
Struts 2 远程代码执行误差（CVE-2018-11776） 威胁预警通告
2018-08-23
综述
北京时间8月22日13时 ，Apache官方宣布通告宣布了Struts2中一个远程代码执行误差（CVE-2018-11776）。该误差在两种情形下保存 ，第一 ，在xml设置中未设置namespace值 ，且上层行动设置（upper action(s) configurations）中未设置或用通配符namespace值。第二 ，使用未设置value和action值的url标签 ，且上层行动设置（upper action(s) configurations）中未设置或用通配符namespace值。
详细信息可参考：https://cwiki.apache.org/confluence/display/WW/S2-057
受影响的版本
l Struts version 2.3 - 2.3.34
l Struts version 2.5 - 2.5.16
不受影响的版本
l Struts version 2.3.35
l Struts version 2.5.17
解决计划
官方已在最新版本中修复了此误差 ，请用户尽快将struts升级至官方修复版本 ，2.3.*的用户需升级至2.3.35 ；2.5.*的用户需升级至2.5.17�？⒅霸笨赏ü柚肕aven或Gradle的方法对应用升级并编译宣布 ，也可手动下载最新Struts框架举行替换。
Maven设置
|
<!-- https://mvnrepository.com/artifact/org.apache.struts/struts2-core --> <dependency> <groupId>org.apache.struts</groupId> <artifactId>struts2-core</artifactId> <version>2.5.17</version> </dependency> |
Gradle设置
|
// https://mvnrepository.com/artifact/org.apache.struts/struts2-core compile group: 'org.apache.struts' name: 'struts2-core' version:'2.5.17' |
官方下载链接：
|
Struts2.3.35 |
http://mirrors.hust.edu.cn/apache/struts/2.3.35/struts-2.3.35-all.zip |
|
Struts2.5.17 |
http://mirrors.hust.edu.cn/apache/struts/2.5.17/struts-2.5.17-all.zip |
暂时解决建议：
排查所有Struts 2的设置文件 ，如struts.xml ，为没有界说namespace命名空间的package节点添加命名空间设置。
<package name="user" namespace="/user" extends="struts-default">
<action name="login">
</action>
</package>
误差验证最新希望
Poc结构乐成 ，乐成执行代码弹出盘算器。
声明
本清静通告仅用来形貌可能保存的清静问题 ，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失 ，均由使用者自己认真 ，AG公司科技以及清静通告作者不为此肩负任何责任。AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告 ，必需包管此清静通告的完整性 ，包括版权声明等所有内容。未经AG公司科技允许 ，不得恣意修改或者增减此清静通告内容 ，不得以任何方法将其用于商业目的。
关于AG公司科技
北京神州AG公司信息清静科技股份有限公司（简称AG公司科技）建设于2000年4月 ，总部位于北京。在海内外设有30多个分支机构 ，为政府、运营商、金融、能源、互联网以及教育、医疗等行业用户 ，提供具有焦点竞争力的清静产品及解决计划 ，资助客户实现营业的清静顺畅运行。
基于多年的清静攻防研究 ，AG公司科技在网络及终端清静、互联网基础清静、合规及清静治理等领域 ，为客户提供入侵检测/防护、抗拒绝服务攻击、远程清静评估以及Web清静防护等产品以及专业清静服务。
北京神州AG公司信息清静科技股份有限公司于2014年1月29日起在深圳证券生意所创业板上市生意 ，股票简称：AG公司科技 ，股票代码：300369。
