一、 漏洞描述
当 namespace 没有为基础 xml 配置中定义的结果设置值时，可以执行 RCE 攻 击，同时，其上部操作配置没有或通配符 namespace。当使用 url 没有 value 和 action 设置的标签并且同时其上部动作配置没有或通配符时，相同的可能性 namespace。
二、 CVE 信息
CVE 编号：CVE-2018-11776
漏洞等级：严重
三、 影响范围
影响 Struts2 版本：
Struts 2.3 - Struts 2.3.34
Struts 2.5 - Struts 2.5.16
四、 检测方式
Struts-scan
下载地址：https://github.com/Lucifer1993/struts-scan
五、 处置建议
1.升级到 Struts 2.3.35 或 Struts 2.5.17
2.临时解决方案:
验证您是否已 namespace 为基础 xml 配置中的所有已定义结果设置（并且始终 不会忘记设置）（如果适用）。还要验证您是否已设置（并且始终不会忘记设置） value 或 JSP 中的 action 所有 url 标记。仅当它们的上部动作配置没有或通配符 时才需要它们 namespace。
六、 相关链接
https://cche.org/confluence/display/WW/S2-057
您可能感兴趣的文章
本文地址：http://www.ouyangxiaoze.com/2019/05/74.html
文章标签：CVE-2018-11776 , Struts2-057 , strutss2
版权声明：本文为原创文章，版权归 欧阳小泽 所有，欢迎分享本文，转载请保留出处！
文章标签：CVE-2018-11776 , Struts2-057 , strutss2
版权声明：本文为原创文章，版权归 欧阳小泽 所有，欢迎分享本文，转载请保留出处！