• 钱江晚报:打赏与“打脸” 2019-07-14
  • 为社会奉献爱心 用青春书写梦想 2019-07-12
  • 你烧香拜佛,天就会降大斯于你? 2019-07-10
  • 人民网驻宁波记者报道集(无效) 2019-07-10
  • 轻松一刻:世界杯精彩瞬间  呈现球技与激情  2019-07-09
  • 汇聚正能量 讴歌新时代——关于用微电影传播核心价值观的倡议书 2019-07-07
  • 强国博客管理员.blog的博客—强国博客—人民网 2019-07-07
  • 想笑说滴根本不是马克思滴“共产主义”······ 2019-07-05
  • 伊拉克和以色列“环球小姐”在自拍合影争议后重聚 2019-07-05
  • 想通了!这些国家丢掉包袱,赶乘“一带一路”快车—— 2019-07-03
  • 销量持续低迷 路虎即将停产揽胜极光双门轿跑版 2019-07-03
  • 锡林郭勒--内蒙古频道--人民网 2019-07-01
  • 世界杯赛神预测? 实为庄家稳赚不赔 2019-06-23
  • 启新航 谋新篇——陕西省第十三次党大会——西部网、陕西头条客户端 2019-06-18
  • 侯德义:用全生命周期理念推动环境修复行业发展 2019-06-18
  • 网络空间安全:行业资讯、技术分享、法规研讨、趋势分析……

    “游侠安全网”创建了网络安全从业者QQ大群(群号:1255197) ,欢迎各位同仁加入!有其它问题如合作等,请联系站长“网路游侠”,QQ:55984512
    ?

    十二生肖表2018年图片:Struts 2 又出漏洞了!S2-048

    2017-07-07 21:59 推荐: 浏览: 2,973 views 字号:

    2018历史开码结果查询 www.amkxg.tw 摘要: 今天下午下班后,游侠看到网上爆出了Struts 2的最新漏洞——S2-048。描述:Showcase插件ActionMessage类中,通过构建不可信的输入实现远程命令攻击,存在安全风险。 然后……微博、微信朋友圈,就被刷屏了……我们来仔细看看,利用条件: 1...

    今天下午下班后,游侠看到网上爆出了Struts 2的最新漏洞——S2-048。描述:Showcase插件ActionMessage类中,通过构建不可信的输入实现远程命令攻击,存在安全风险。

    然后……微博、微信朋友圈,就被刷屏了……我们来仔细看看,利用条件:

    1、Struts版本:Struts 2.3.x

    2、有Struts 1的Showcase

    相信经过了前一段各种漏洞的“洗礼”,如S2-045等,Struts 2已经都升级到了较新的版本。本次还有个前置条件,就是有Struts 1的Showcase,如果没有,就……呵呵

    来一句“安全客”的原话:“非默认插件 struts2-struts1-plugin”,有多少人装了?真不好说。

    所以,这次Struts 2官方对此漏洞的定义是“High(高危)”而不是“Critical(严重/极重要)”。so……指望今晚上熬夜去各大SRC刷RANK是不太现实的,熬夜去拿站做“其它用途”也不那么乐观。

    当然,S2-048既然是RCE(远程命令执行)漏洞,还是有点威慑力的!还是来个“安全客”的图:

    说一下安全公告中常见的两个词:High、Critical,前者是高危,后者是紧急/极重要。所以,从性质的严重程度而言,Critical要比High厉害。如果遇到Critical级别的漏洞,是必须立刻行动去修复的,而High的,要么影响面不是那么广泛,要么就是利用条件比较苛刻(但还是能利用的!如上图的“记事本”。)

    附一个S2-045、S2-048的对比,中间标红了:

    解决?—— 对,虽然是High而不是Critical,但游侠建议您还是立刻升级,毕竟,被黑这件事情,往往是巧合凑到一起之后发生的……万一你刚好不走运,被黑就是100%咯!

    1、对于程序员

    传递消息给ActionMessage时,用:

    messages.add(“msg“, new ActionMessage(“struts1.gangsterAdded“, gform.getName()));

    而不是

    messages.add(“msg“, new ActionMessage(“Gangster ” + gform.getName() + ” was added“));

    2、对于管理员

    关闭Showcase;

    升级Struts 2到最新版本(其实如果上次S2-045你升级到了2.5.x,这次就没问题)。

    好了,游侠叨叨完了,能升级的赶紧升下级,然后去睡觉吧。哦,对了,用下面这个图压压惊(我真忘了谁发的了,朋友看到的)

    作者:张百川(网路游侠)2018历史开码结果查询 www.amkxg.tw ?转载请注明来源!谢谢

    联系站长租广告位!
    ?
    中国首席信息安全官


    关闭


    2018历史开码结果查询
    关闭
  • 钱江晚报:打赏与“打脸” 2019-07-14
  • 为社会奉献爱心 用青春书写梦想 2019-07-12
  • 你烧香拜佛,天就会降大斯于你? 2019-07-10
  • 人民网驻宁波记者报道集(无效) 2019-07-10
  • 轻松一刻:世界杯精彩瞬间  呈现球技与激情  2019-07-09
  • 汇聚正能量 讴歌新时代——关于用微电影传播核心价值观的倡议书 2019-07-07
  • 强国博客管理员.blog的博客—强国博客—人民网 2019-07-07
  • 想笑说滴根本不是马克思滴“共产主义”······ 2019-07-05
  • 伊拉克和以色列“环球小姐”在自拍合影争议后重聚 2019-07-05
  • 想通了!这些国家丢掉包袱,赶乘“一带一路”快车—— 2019-07-03
  • 销量持续低迷 路虎即将停产揽胜极光双门轿跑版 2019-07-03
  • 锡林郭勒--内蒙古频道--人民网 2019-07-01
  • 世界杯赛神预测? 实为庄家稳赚不赔 2019-06-23
  • 启新航 谋新篇——陕西省第十三次党大会——西部网、陕西头条客户端 2019-06-18
  • 侯德义:用全生命周期理念推动环境修复行业发展 2019-06-18
  • 河北20选5复试 山东时时彩 疯狂百搭电子 捕鱼大亨官方网站 庆南fc是强队吗 比利亚雷亚尔皇家贝蒂斯预测 蛇和梯子客服 09年波尔多 罗马音 恐怖实验室怎么玩