国产精品导航一区二区丨动漫成人无码精品一区二区三区丨久久国内精品自在自线波多野结氏丨久久久久久久久久久网站丨亚洲日韩乱码中文无码蜜桃臀网站丨午夜成人无码福利免费视频丨最新中文乱码字字幕在线丨夜夜骑夜夜操丨久久久久久久久久久av丨女人久久丨日本乱偷互换人妻中文字幕丨日本猛少妇色xxxxx猛交图片丨亚洲欧洲精品成人丨国产人成高清在线视频99最全资源丨91文字幕巨乱亚洲香蕉丨日本欧美视频在线观看丨三级黄毛片丨114一级片丨成人免费午夜福利片在线观看丨国产主播福利在线丨黄色的一级片丨久久99国产精品女同丨三区四区丨久久精品视频一区二区三区丨日韩一区二区三区在线视频

安全公告編號:CNTA-2017-0081

近日，國家信息安全漏洞共享平臺（CNVD）收錄了 Apache Struts2的兩個中危漏洞，分別是：S2-054拒絕服務(wù)漏洞（CNVD-2017-35898，對CVE-2017-15707），S2-055反序列化漏洞（CNVD-2017-27693，對應(yīng)CVE-2017-7525）。攻擊者可利用上述漏洞對目標(biāo)系統(tǒng)進(jìn)行Dos攻擊或反序列化代碼執(zhí)行攻擊。

一、漏洞情況分析

2017年12月1日，Apache Strusts 官方發(fā)布了Struts2的兩個中危漏洞，漏洞信息如下：

S2-054拒絕服務(wù)漏洞：ApacheStruts REST插件使用了過時的JSON-lib庫，擊者可以通過構(gòu)造特制的JSON惡意請求造成DOS攻擊。

?S2-055反序列化漏洞：由于ApacheStruts調(diào)用了存在反序列化漏洞的Jackson JSON庫，導(dǎo)致了反序列化漏洞的產(chǎn)生。

CNVD對上述漏洞的綜合評級為“中危”。其中FasterXML Jackson-databind存在遠(yuǎn)程代碼執(zhí)行漏洞在2017年8月1日，已被CNVD庫收錄（CNVD-2017-27693）。

二、漏洞影響范圍

Struts 2.5 – Struts 2.5.14

三、防護(hù)建議

S2-054修復(fù)建議：

方法一：升級到Apache Struts版本2.5.14.1。

方法二：使用Jackson處理程序替換默認(rèn)的JSON-lib處理程序，替換方法：

http://struts.apache.org/plugins/rest/#use-jackson-framework-as-json-contenttypehandler

S2-055修復(fù)建議：

方法一：升級到Apache Struts版本2.5.14.1。

方法二：手動將項目中的com.fasterxml.jackson升級到版本2.9.2，詳情參考：

https://github.com/FasterXML/jackson-databind/issues/1599#issuecomment-342983770

附：參考鏈接：

https://cwiki.apache.org/confluence/display/WW/S2-054

https://cwiki.apache.org/confluence/display/WW/S2-055

http://www.securityfocus.com/bid/99623

http://www.cnvd.org.cn/flaw/show/CNVD-2017-27693

http://www.cnvd.org.cn/flaw/show/CNVD-2017-35898