远程主机上安装的 Apache Struts 版本低于 2.3.18。因此如公告 S2-008 所述受到多个漏洞的影响。

  - 低于 2.2.3.1 的 Apache Struts 中的 ExceptionDelegator 组件在对属性的不匹配数据类型的某些异常处理期间将参数值解释为 OGNL 表达式这允许远程攻击者通过构建的参数执行任意 Java 代码。 (CVE-2012-0391)

  版本低于 2.3.1.1 的 Apache Struts 中，CookieInterceptor 组件不使用参数名称白名单，远程攻击者可利用此问题，通过构建的 HTTP Cookie 标头（可通过静态方法触发 Java 代码执行）执行任意命令。(CVE-2012-0392)

  - 在 2.3.1.1 之前的 Apache Struts 中，ParameterInterceptor 组件未阻止访问公共构造函数，这允许远程攻击者通过特制的可触发创建 Java 对象的参数来创建或覆盖任意文件。(CVE-2012-0393)

  - 在 2.3.1.1 之前的 Apache Struts 中，DebuggingInterceptor 组件在使用开发者模式时，允许远程攻击者通过不明矢量执行任意命令。注意：供应商认为此行为本身不是安全漏洞。(CVE-2012-0394)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Apache Struts 2.0.0 < 2.3.18 多种漏洞 - 远程命令执行和任意文件覆盖Strict DMI 无法正常工作(S2-008)

critical Nessus 插件 ID 279485

版本 1.5