产品咨询：4000 258 365
|
申请产品演示
|
产品咨询：4000 258 365
|
申请产品演示
|
千疮百孔的struts2应用又曝出存在新的高危远程代码执行漏洞。该漏洞由lgtm.com的安全研究员汇报，编号为cve-2017-9805，漏洞危害程度为高危（critical）。当用户使用带有xstream程序的struts rest插件来处理xml payloads时，可能会遭到远程代码执行攻击。
漏洞编号
cve-2017-9805
s2-052
漏洞影响
struts 2.5 – struts 2.5.12 版本
漏洞概述
struts2 rest插件使用带有xstream程序的xstream handler进行未经任何代码过滤的反序列化操作，这可能在反序列化xml payloads时导致远程代码执行。任意攻击者都可以构造恶意的xml内容提升权限。
向下兼容
由于struts的某些默认限制，部分rest插件可能会停止工作。 此时请检查可能导致停止工作接口，这些接口分别是：
org.apache.struts2.rest.handler.allowedclasses
org.apache.struts2.rest.handler.allowedclassnames
org.apache.struts2.rest.handler.xstreampermissionprovider
漏洞poc
暂无
k8凯发棋牌的解决方案
目前尚无完美k8凯发棋牌的解决方案，建议如下：
1.建议尽快升级到2.5.13版本。
2.在不使用时删除struts rest插件，或仅限于服务器普通页面和jsons：
试用申请
