CVE-2020-17530 | Apache Struts远程代码执行缝隙公告
颁布功夫 2020-12-080x00 缝隙概述
CVE ID | CVE-2020-17530 | 时 间 | 2020-12-08 |
类 型 | RCE | 等 级 | 高危 |
远程利用 | 是 | 影响领域 | Apache struts ： 2.0.0-2.5.25 |
0x01 缝隙详情
Apache Struts 2 是一个用于开发Java EE网络利用法式的开源Web框架，其利用并延长了Java Servlet API，激励开发者选取MVC架构 。
2020年12月08日， Apache 颁布安全布告，Struts中存在一个远程代码执行缝隙（CVE-2020-17530） 。
Struts在某些情况下可能存在OGNL表白式注入缝隙，若是开发人员使用了 %{…} 语法进行强造OGNL解析，某些特殊的TAG属性可能会被双沉解析 。攻击者能够通过机关恶意的OGNL表白式来利用此缝隙，最终造成远程代码执行 。
0x02 措置建议
目前Apache已经建复了此缝隙，建议更新至Struts 2.5.26或更高版本 。
下载链接：
https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.26
0x03 参考链接
https://cwiki.apache.org/confluence/display/WW/S2-061
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-17530
https://nvd.nist.gov/vuln/detail/CVE-2020-17530
0x04 功夫线
2020-12-08 Apache颁布安全布告
2020-12-08 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号