KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2016-4430 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Apache Struts是美国阿帕奇（Apache）软件基金会负责维护的一个开源项目，是一套用于创建企业级Java Web应用的开源MVC框架，主要提供两个版本框架产品，Struts 1和Struts 2。Apache Struts 2是Apache Struts的下一代产品，是在Struts 1和WebWork的技术基础上进行了合并的全新Struts 2框架，其体系结构与Struts 1差别较大。
Apache Struts 2.3.20版本至2.3.28.1中存在远程代码执行漏洞。攻击者可借助恶意的表达式利用该漏洞绕过令牌验证，执行CSRF攻击。
影响范围
应用：apache struts（版本 2.3.20）
应用：apache struts（版本 2.3.20.1）
应用：apache struts（版本 2.3.20.3）
应用：apache struts（版本 2.3.24）
应用：apache struts（版本 2.3.24.1）
应用：apache struts（版本 2.3.24.3）
应用：apache struts（版本 2.3.28）
应用：apache struts（版本 2.3.28.1）
……另有 1 项受影响环境，详见官方公告
解决方案
目前厂商已经发布了升级补丁以修复此安全问题，详情请关注厂商主页：
http://struts.apache.org/
参考信息
http://jvn.jp/en/jp/JVN45093481/index.html
http://jvndb.jvn.jp/jvndb/JVNDB-2016-000111
http://www-01.ibm.com/support/docview.wss?uid=ssg1S1009282
http://www-01.ibm.com/support/docview.wss?uid=swg21987854
http://www.oracle.com/technetwork/security-advisory/cpujul2017-3236622.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。