远程主机上运行的 Apache Struts 版本为高于或等于 2.1.2、2.2.x 的 2.1.x、低于 2.3.34 的 2.3.x 或低于 2.5.13 的 2.5.x。因而受到多个漏洞的影响：- 在 REST 插件中，存在远程代码执行漏洞。Struts REST 插件使用的 XStreamHandler 具有用于反序列化的 XStream 实例，在对 XML 负载进行反序列化时，并未执行任何类型的筛选。允许未经身份验证的远程攻击者通过发送特制的 XML 负载，在 Struts REST 插件的环境中执行任意代码。(CVE-2017-9805) - 在 REST 插件所使用的 XStreamHandler 中，XStream XML 反序列化程序中存在拒绝服务漏洞。(CVE-2017-9793) - 使用 URLValidator 时，存在拒绝服务漏洞。(CVE-2017-9804) - 存在与 'freemarker' 标签、表达式文本、'views/freemarker/FreemarkerManager.java' 及强制表达式有关的缺陷，允许执行任意代码。(CVE-2017-12611) 请注意，Nessus 并未测试这些问题，而仅依赖应用程序自我报告的版本号。

检测

Apache Struts 2.1.x >= 2.1.2 / 2.2.x / 2.3.x < 2.3.34 / 2.5.x < 2.5.13 Multiple Vulnerabilities (S2-050 - S2-053)

critical Nessus 插件 ID 102960

版本 1.21