Apache Struts 代码执行漏洞风险通告

最近，亚信安全CERT通过监控发现，Apache官方披露了Apache Struts 代码执行漏洞（CVE-2023-50164）。攻击者可以利用文件上传参数进行路径遍历，并在某些情况下上传恶意文件，从而执行任意代码。

Apache Struts 是一个开源的、用于构建企业级Java Web应用的MVC框架。它利用并延伸了Java Servlet API，鼓励开发者采用MVC架构。

考虑到此安全漏洞的存在，厂商已迅速发布修复版本。亚信安全CERT强烈建议使用受影响版本的用户及时关注官方更新，并参照官方提供的修复方案迅速采取相关措施。为确保资产的安全，建议用户进行资产自查和预防工作，以免遭受潜在的黑客攻击。

漏洞编号、等级和类型

• CVE-2023-50164

• 高危

• 代码执行

漏洞状态

漏洞细节	漏洞PoC	漏洞EXP	在野利用
未公开	未公开	未公开	未发现

受影响版本

• 2.5.0 <= Struts <= 2.5.32

• 6.0.0 <= Struts <= 6.3.0

修复建议

目前，官方已有可更新版本，建议用户尽快升级至Struts 2.5.33或Struts 6.3.0.2或更高版本：

• https://struts.apache.org/download.cgi#struts-ga

参考链接

• https://cwiki.apache.org/confluence/display/WW/S2-066

• https://lists.apache.org/thread/yh09b3fkf6vz5d6jdgrlvmg60lfwtqhj

• https://www.openwall.com/lists/oss-security/2023/12/07/1