Apache Struts 中两年前的严重漏洞重现，官方公布补丁

发布时间：2022-04-15 15:07 所属栏目：53 来源：互联网

导读：Apache Software Foundation 发布了一个安全公告 S2-062，以解决 Struts 2.0.0 到 2.5.29 版本中存在的一个远程代码执行漏洞;攻击者可以利用此漏洞来控制受影响的系统。对此，美国网络安全和基础设施安全局 (CISA) 也发布公告敦促组织查看 Apache 的公告，并

Apache Software Foundation 发布了一个安全公告 S2-062，以解决 Struts 2.0.0 到 2.5.29 版本中存在的一个远程代码执行漏洞;攻击者可以利用此漏洞来控制受影响的系统。对此，美国网络安全和基础设施安全局 (CISA) 也发布公告敦促组织查看 Apache 的公告，并尽快升级到最新的 Struts 2 补丁版本。

对象图导航语言 (Object-Graph Navigation Language,OGNL) 是一种开源的 Java 表达式语言，简化了 Java 语言中的表达式范围。它被集成在 Struts2 等框架中，作用是对数据进行访问;拥有类型转换、访问对象方法、操作集合对象等功能。

尽管 Apache 在 Struts 2.5.26 中解决了 2020 年所报告的漏洞，但研究人员 Chris McCown 发现，所应用的修复方案并不完整。他向 Apache 报告称，“双重评估”问题仍然可以在 Struts 版本 2.5.26 及更高版本中重现。

作为解决措施，Apache 方面建议开发人员避免基于不受信任的用户输入在标签属性中使用强制 OGNL 评估，和/或升级到 Struts 2.5.30 或更高版本，以检查表达式评估是否不会导致双重评估。并建议遵循安全指南以获得最佳实践。

（编辑：ASP站长网）