【漏洞详情】

Apache Struts2框架是一个用于开发Java EE网络应用程序的Web框架。近日，平安云安全中心监控到Struts官方发布安全通告披露了2个安全漏洞，安全风险较大。   

S2-059（CVE-2019-0230）：在使用某些tag等情况下可能存在OGNL表达式注入漏洞，从而造成远程代码执行攻击；

S2-060（CVE-2019-0233）：在上传文件时，攻击者可通过特定的请求造成访问权限错误，从而导致上传操作失败，造成拒绝服务攻击。

【漏洞评级】

高危

【 影响范围】

Apache Struts 2.0.0 - 2.5.20

【修复建议】

建议受影响的用户结合实际业务评估漏洞风险影响，及时升级至安全版本(Apache Struts >= 2.5.22)，以避免安全风险。

【参考链接】

https://cwiki.apache.org/confluence/display/WW/S2-059

https://cwiki.apache.org/confluence/display/WW/S2-060

特别提醒：清除恶意文件前请进行充分测试，并务必做好数据备份和快照，防止出现意外。

平安云

2020年8月14日