Java开发网 |
注册 |
登录 |
帮助 |
搜索 |
排行榜 |
发帖统计
|
您没有登录 |
» Java开发网 » Java Security
打印话题 寄给朋友 订阅主题 |
作者 | Apache Struts CVE-2013-2248多个开放重定向漏洞 |
阿熊
阿熊 元老 发贴: 5644 积分: 454 |
于 2013-07-24 10:26
影响系统 Apache Struts 2.0.0-2.3.15 危害 远程攻击者利用漏洞可重定向用户通信。 CVSSv2: 攻击所需条件 攻击者必须构建恶意URI,诱使用户解析。 漏洞信息 Apache Struts框架是一个基于Java Servlets,JavaBeans, 和 JavaServer Pages (JSP)的Web应用框架的开源项目。 Apache Struts 2 DefaultActionMapper在处理短路径重定向参数前缀"redirect:"或"redirectAction:"时存在开放重定向漏洞,允许远程攻击者利用漏洞操作"redirect:"或"redirectAction:"后的信息,重定向URL到任意位置。 测试方法 http://www.example.com/struts2-showcase/fileupload/upload.action?redirect:http://www.example.com/ http://www.example.com/struts2-showcase/modelDriven/modelDriven.action?redirectAction:http://www.example.com/%23 厂商解决方案 Apache Struts 2.3.15.1已经修复此漏洞,建议用户下载更新: http://struts.apache.org/ 注:在升级到Apache Struts 2.3.15.1之后,使用"redirect:" / "redirectAction:"功能的应用程序将不能正常工作,需要检查代码使用正确的固定的导航规则来代替这些表达式。 漏洞提供者 Takeshi Terada of Mitsui Bussan Secure Directions, Inc. 漏洞消息链接 http://struts.apache.org/release/2.3.x/docs/s2-017.html http://struts.apache.org/release/2.3.x/docs/version-notes-23151.html http://packetstormsecurity.com/files/122442/Apache-Struts-2-Open-Redirection-Command-Execution.html |
已读帖子 新的帖子 被删除的帖子 |
Powered by Jute Powerful Forum® Version Jute 1.5.6 Ent Copyright © 2002-2021 Cjsdn Team. All Righits Reserved. 闽ICP备05005120号-1 客服电话 18559299278 客服信箱 714923@qq.com 客服QQ 714923 |