正文

Apache Struts REST Plugin up to 2.5.15 Xstream XML Data 拒绝服务漏洞（S2-056）

admin
admin V管理员 /0 评论 /8 阅读
0410
此篇文章发布距今已超过1126天，您需要注意文章的内容或图片是否可用！

CVE编号

CVE-2018-1327

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2018-03-28
漏洞描述
Struts2是Apache软件基金会负责维护的一个基于MVC设计模式的Web应用框架开源项目。
Apache Struts2存在拒绝服务漏洞。由于Apache Struts2的REST插件，使用XStream组件对XML格式的数据包进行反序列化操作，且未对数据内容进行有效验证时，攻击者可通过提交恶意XML数据对应用进行远程DoS攻击。
解决建议
用户可参考如下供应商提供的安全公告获得补丁信息：
https://cwiki.apache.org/confluence/display/WW/S2-056
参考链接
http://www.oracle.com/technetwork/security-advisory/cpujul2018-4258247.html
http://www.securityfocus.com/bid/103516
http://www.securitytracker.com/id/1040575
https://cwiki.apache.org/confluence/display/WW/S2-056
https://lists.apache.org/thread.html/r02c2d634fa74209d941c90f9a4cd36a6f12366c...
https://lists.apache.org/thread.html/rf482c101a88445d73cc2e89dbf7f16ae00a4aa7...
https://security.netapp.com/advisory/ntap-20180330-0001/
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 apache struts * From
(including)
2.1.1 		Up to
(including)
2.5.14.1
阿里云评分 7.0
  • 攻击路径 远程
  • 攻击复杂度 容易
  • 权限要求 无需权限
  • 影响范围 全局影响
  • EXP成熟度 POC 已公开
  • 补丁情况 官方补丁
  • 数据保密性 无影响
  • 数据完整性 传输被破坏
  • 服务器危害 DoS
  • 全网数量 N/A
CWE-ID 漏洞类型 NVD-CWE-noinfo