热点:

    新Struts漏洞可致远程攻击 网站面新威胁

      [  中关村在线 原创  ]   作者:郑伟

      还记得去年Equifax网站被侵入的事件吗?攻击者正是利用了Apache Struts中的漏洞而展开攻击的。作为世界上最流行的Java Web服务器框架之一,Apache Struts2本周再被曝出其在开源Web框架中出现了一个新的远程攻击漏洞,可被利用传播挖矿或勒索病毒。

    新Struts漏洞可致远程攻击 网站面新威胁
    新Struts漏洞可招致远程攻击

      据悉,新的漏洞名为CVE-2018-11776,由Semmle安全研究团队的研究人员Man Yue Mo发现。此漏洞属于Struts的核心功能,允许在以某种方式配置框架时进行远程代码执行(RCE)。

      虽然常规配置不会触发该漏洞,但当系统以某种方式配置时,却可以让攻击者利用到Struts中存在的漏洞。攻击者可利用此次Apache Struts2漏洞对采用Apache Struts2框架的企业Web服务器实施入侵,从而导致企业服务器被完全控制、企业敏感信息泄露、被植入勒索病毒加密破坏服务器,或利用服务器资源运行挖矿木马等严重后果。

      安全研究人员指出,新漏洞所触及的框架部分可能比其早期的漏洞更具影响力,因为其在端点的使用范围更为广泛。不过,虽然此漏洞具备较大危险性,但需注意的是,它们仍需要非常具体的配置才能允许攻击者利用到这个漏洞。

      根据Apache Foundation的说法,一旦你的网站配置存在以下两点就需要注意了:

      1、Struts配置中的alwaysSelectFullNamespace标志设置为true。如果应用程序使用l 流行的Struts Convention插件,则看下是否是默认设置。

      2、应用程序的Struts配置文件中包含了<action ...>字段,而该字段则未指定可选的命名空间属性或指定通配符命名空间(例如“/ *”)。

      为此,Semmle与Apache Foundation合作披露了该高危漏洞,并在披露漏洞的同时发布了一系列补丁更新。Apache Foundation和多名安全专业人员都建议使用受影响的Struts版本的网站应该立即更新相关软件

      Struts是Apache基金会Jakarta项目组的一个开源项目,它采用MVC模式,帮助Java开发者利用J2EE开发 Web 应用。目前,Struts广泛应用于大型互联网企业、政府、金融机构等网站建设,并作为网站开发的底层模板使用。因此,广大网站运维人员应及时验证漏洞情况,并采取相应有效的防范措施,以免遭受更为严重的影响。

    本文属于原创文章,如若转载,请注明来源:新Struts漏洞可致远程攻击 网站面新威胁http://safe.zol.com.cn/696/6966295.html

    safe.zol.com.cn true http://safe.zol.com.cn/696/6966295.html report 1746   还记得去年Equifax网站被侵入的事件吗?攻击者正是利用了Apache Struts中的漏洞而展开攻击的。作为世界上最流行的Java Web服务器框架之一,Apache Struts2本周再被曝出其在开源Web框架中出现了一个新的远程攻击漏洞,可被利用传播挖矿或勒索病毒。新Struts漏洞可招致...
    • 猜你喜欢
    • 最新
    • 相关
    推荐经销商
    投诉欺诈商家: 400-688-1999
    • 北京
    • 上海
    周关注排行榜
    • 防火墙
    • UTM
    • 上网行为
    • 防毒墙
    推荐问答
    提问
    0

    下载ZOL APP
    秒看最新热品