KnowSafe 安全预警：Apache Struts REST Plugin up to 2.5.15 Xstream XML Data 拒绝服务漏洞（S2-056）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2018-1327 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Struts2是Apache软件基金会负责维护的一个基于MVC设计模式的Web应用框架开源项目。

Apache Struts2存在拒绝服务漏洞。由于Apache Struts2的REST插件，使用XStream组件对XML格式的数据包进行反序列化操作，且未对数据内容进行有效验证时，攻击者可通过提交恶意XML数据对应用进行远程DoS攻击。

影响范围

应用：apache struts（影响面 Up to (including) 2.5.14.1）

解决方案

用户可参考如下供应商提供的安全公告获得补丁信息：

https://cwiki.apache.org/confluence/display/WW/S2-056

参考信息

http://www.oracle.com/technetwork/security-advisory/cpujul2018-4258247.html

http://www.securityfocus.com/bid/103516

http://www.securitytracker.com/id/1040575

https://cwiki.apache.org/confluence/display/WW/S2-056

https://lists.apache.org/thread.html/r02c2d634fa74209d941c90f9a4cd36a6f12366ca65f9b90446ff2de3%40%3Cissues.struts.apache.org%3E

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。