发布日期：2014-05-06
更新日期：2014-05-07

受影响系统：

Apache Group Struts < 2.3.16.3

不受影响系统：

Apache Group Struts 2.3.16.3

描述：

---

BUGTRAQ  ID: 67218
CVE(CAN) ID: CVE-2014-0116

Struts是用于构建Web应用的开放源码架构。

Apache Struts 2.0.0-2.3.16.2版本没有正确限制对"class"参数的访问权，该参数通过CookieInterceptor直接映射到 "getClass()"方法。当"*"用来配置cookiesName参数时，攻击者可利用此漏洞篡改应用服务器使用的ClassLoader，然后更改会话或请求的状态。该漏洞源于对CVE-2014-0113的不完整修复。

<*来源：Zubair Ashraf
  
  链接：http://secunia.com/advisories/58412/
        http://struts.apache.org/release/2.3.x/docs/s2-022.html
*>

建议：

---

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

*不要使用通配符映射来接受cookie名称或根据Struts 2.3.16.3内提供的代码实现CookieInterceptor。

厂商补丁：

Apache Group
------------
Apache Group已经为此发布了一个安全公告（s2-022）以及相应补丁:
s2-022：s2-022
链接：http://struts.apache.org/release/2.3.x/docs/s2-022.html

补丁下载：http://struts.apache.org/download.cgi#struts23163

浏览次数：2590
严重程度：0（网友投票）