CVE-2019-0230:Apache Struts2远程代码执行漏洞通告
2020-08-13 21:01

报告编号：B6-2020-081302

报告来源：360CERT

报告作者：360CERT

更新日期：2020-08-13

0x01 漏洞简述

2020年08月13日， 360CERT监测发现Apache官方发布了Struts2远程代码执行漏洞的风险通告，该漏洞编号为CVE-2019-0230，漏洞等级：高危。漏洞评分：8.5

攻击者可以通过构造恶意的OGNL表达式，并将其设置到可被外部输入进行修改，且会执行OGNL表达式的Struts2标签的属性值，引发OGNL表达式解析，最终造成远程代码执行的影响。

对此，360CERT建议广大用户及时将Apache Struts2进行升级完成漏洞修复。与此同时，请做好资产自查以及预防工作，以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下

评定方式 等级
威胁等级 高危
影响面 广泛
360CERT评分 8.5

0x03 漏洞详情

Apache Struts 2是一个用于开发Java EE网络应用程序的开放源代码网页应用程序架构。它利用并延伸了Java Servlet API，鼓励开发者采用MVC架构。

该漏洞有三个限制条件：

  1. Struts2标签的属性值可执行OGNL表达式
  2. Struts2标签的属性值可被外部输入修改
  3. Struts2标签的属性值未经安全验证

仅当以上三个条件都满足时，攻击者可以通过构造恶意的OGNL表达式，造成远程命令执行的影响。

0x04 影响版本

  • Apache Struts2：2.0.0-2.5.20

0x05 修复建议

通用修补建议：

升级到Struts 2.5.22或更高版本。

或者开启ONGL表达式注入保护措施

0x06 时间线

2020-08-13 Apache Struts2官方发布安全通告

2020-08-13 360CERT发布通告

0x07 参考链接

  1. Apache Struts2官方安全通告