上周 Struts 发布了一个 2.3.14.2 漏洞修复版本。今天再次发布新版本2.3.14.3,修复了另一个重要的安全漏洞。
Struts框架允许基于通配符的动作映射,且当一个请求不匹配动作时,会尝试加载一个基于动作名称的JSP文件。由于动作名称中可以嵌入OGNL表达式,因此这有可能导致攻击者在服务器端执行Java代码。
在新版本中,可以检查动作名称是否匹配正则表达式[a-z]*[A-Z]*[0-9]*[.\-_!/]*(管理员也可以通过struts.xml来修改所允许动作名称的相关正则表达式),并且从OgnlTextParser中移除了双重求值功能。
你可以通过S2-015安全公告来查看问题的细节和相关示例。
新版本下载地址:http://struts.apache.org/download.cgi#struts23143