Apache Struts 6.x < 6.11.0 / 7.x < 7.3.0 多个漏洞 （S2-072） （S2-074）
high Nessus 插件 ID 338651
语言：
简介
远程主机上安装的 Apache Struts 受到多个拒绝服务漏洞的影响。描述
远程主机上安装的 Apache Struts 版本低于 6.0.06.11.0或7.0.07.3.0低于 。因此，如公告 S2-072 和 S2-074 所述，受到多个拒绝服务漏洞的影响：- 当应用程序配置为从 JSON 请求正文填充操作时，该插件会将该正文读入内存，而不限制它将接受的数量。因此，单个请求可造成服务器按照请求大小按比例分配内存，从而耗尽堆并拒绝向其他用户提供服务。此插件对 JSON 输入长度的可配置限制未限制此读取，因此降低该限制不会减少风险暴露。此问题仅限于 JSON 插件，它是可选组件，不属于 Struts 核心。不使用 JSON 插件的应用程序不会受到影响，使用该插件但未启用 JSON 请求正文处理（默认不启用）的应用程序也不会受到影响。（CVE-2026-73633）
- Struts 通过本地化文本查找解决类型转换和验证错误消息。如果未配置固定的区域设置，则会从入站请求获取查找区域设置，因此未经认证的远程客户端可驱动框架的内部本地化文本缓存在无边界的情况下增长并耗尽堆内存。配置固定区域设置的应用程序不受影响。（CVE-2026-73635）
请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
请升级版本到 Apache Struts 6.11.0 / 7.3.0 或更高版本。或者，应用供应商的安全公告中所提及的变通方案。另见
https://cwiki.apache.org/confluence/spaces/WW/pages/444334429/S2-072
https://cwiki.apache.org/confluence/spaces/WW/pages/444334689/S2-074
插件详情
严重性: High
ID: 338651
文件名: struts_6_11_0.nasl
版本: 1.2
类型: Local
代理: windows, macosx, unix
系列: Misc.
发布时间: 2026/8/21
最近更新时间: 2026/8/21
配置: 启用偏执模式
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.8
百分位: 96.41
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 6.1
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS 分数来源: CVE-2026-73633
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2026-73635
漏洞信息
CPE: cpe:/a:apache:struts
必需的 KB 项: Settings/ParanoidReport, Host/OS, installed_sw/Apache Struts
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/8/1
漏洞发布日期: 2026/7/28
参考资料信息
CVE: CVE-2026-73633, CVE-2026-73635
IAVA: 2026-A-0858