Apache Struts up to 1.7 JRE URLDecoder url-encoded 跨站脚本攻击（S2-028）

CVE编号

CVE-2016-4003

利用情况

暂无

补丁情况

官方补丁

披露时间

2016-04-13

漏洞描述

Apache Struts是美一款用于创建企业级Java Web应用的开源框架。Oracle JRE是一套运行Java应用程序的环境。
Apache Struts使用的Oracle JRE 的‘URLDecoder’函数存在跨站脚本漏洞，允许远程攻击者利用漏洞注入恶意脚本或HTML代码，当恶意数据被查看时，可获取敏感信息或劫持用户会话。

解决建议

目前厂商已经发布了升级补丁以修复此安全问题，补丁获取链接：
http://struts.apache.org/docs/s2-028.html

参考链接
http://struts.apache.org/docs/s2-028.html
http://www.securityfocus.com/bid/86311
http://www.securitytracker.com/id/1035268
https://issues.apache.org/jira/browse/WW-4507

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	apache	struts	*	From (including) 2.0.0	Up to (including) 2.3.24.1
	运行在以下环境
	系统	debian	DPKG	*		Up to (excluding) 0

阿里云评分 3.4

• 攻击路径 远程
• 攻击复杂度 容易
• 权限要求 无需权限
• 影响范围 有限影响
• EXP成熟度 未验证
• 补丁情况 官方补丁
• 数据保密性 无影响
• 数据完整性 无影响
• 服务器危害 无影响
• 全网数量 N/A

CWE-ID 漏洞类型 CWE-79 在Web页面生成时对输入的转义处理不恰当（跨站脚本）