Apache Struts 2 预测的标记 XSRF

high Nessus 插件 ID 79860

简介

远程 Web 服务器托管的 Web 应用程序使用受到跨站请求伪造漏洞影响的 Java 框架。

描述

远程 Web 服务器使用的 Struts 2 版本受到跨站请求伪造漏洞的影响,此漏洞产生的原因是标记生成器未充分随机化标记值。攻击者可利用此漏洞,从一个表单提取标记,然后预测将用于保护表单提交的下一个标记值。通过诱使受害者访问特别构建的表单,攻击者可使用预测的标记值对登录的用户强制执行操作。

请注意,只能在表单中使用 <s:token/> 标签时利用此漏洞。

请注意,Nessus 没有测试此问题,而仅依赖于应用程序自我报告的版本号。

解决方案

升级到 2.3.20 或更高版本。

另见

http://struts.apache.org/docs/s2-023.html

http://struts.apache.org/docs/s2-025.html

https://issues.apache.org/jira/browse/WW-4423

插件详情

严重性: High

ID: 79860

文件名: struts_2_3_20_win_local.nasl

版本: 1.17

类型: combined

代理: windows, macosx, unix

系列: Misc.

发布时间: 2014/12/10

最近更新时间: 2022/4/11

配置: 启用全面检查

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: Medium

基本分数: 6.8

时间分数: 5

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2014-7809

CVSS v3

风险因素: High

基本分数: 7.3

时间分数: 6.4

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: cpe:/a:apache:struts

易利用性: No known exploits are available

补丁发布日期: 2014/11/21

漏洞发布日期: 2014/12/1

参考资料信息

CVE: CVE-2014-7809, CVE-2015-5169

BID: 71548, 76625