文章目录
- 前言
- 一、漏洞描述
- 二、漏洞详情
- 三、影响版本
- 四、危害描述
- 五、漏洞分析
- 六、漏洞复现
- 七、修复建议
前言
Struts2框架是一个用于开发Java EE网络应用程序的开放源代码网页应用程序架构。它利用并延伸了Java Servlet API,鼓励开发者采用MVC架构。Struts2以WebWork优秀的设计思想为核心,吸收了Struts框架的部分优点,提供了一个更加整洁的MVC设计模式实现的Web应用程序框架。
一、漏洞描述
Apache Struts的文件上传逻辑中存在漏洞,若代码中使用了FileUploadInterceptor,当进行文件上传时,攻击者可能构造恶意请求利用目录遍历等上传文件至其他目录。如果成功利用,攻击者可能能够执行远程代码,获取敏感数据、破坏网站内容或进行其他恶意活动。
二、漏洞详情
CVE-2024-53677是一个严重的文件上传机制漏洞,攻击者可以利用该漏洞实现以下攻击行为:
1、路径穿越攻击 通过操作文件上传的参数,攻击者可将文件上传到服务器的任意位置,绕过安全机制。
2、远程代码执行(RCE)攻击者可上传并触发可执行文件(例如 .jsp脚本或二进制载荷),在服务器上远程执行恶意代码。
三、影响版本
- 2.0.0 <= Struts &