dreamstargream
a year ago5,000+ Views
□ 개요 o Apache Struts에서 임의 코드 실행이 가능한 취약점이 발견 [1] o 취약한 버전을 사용 중인 서버의 담당자는 악성코드 감염 등의 위험이 있으므로 대응방안에 따른 조치 권고 □ 내용 o 웹 애플리케이션 Showcase 내 ActionMessage.class에서 메시지를 처리할 때 특정 헤더 값을 통해 원격 코드 실행이 가능한 취약점(CVE-2017-9791) □ 영향을 받는 제품 및 버전 o Apache Struts 2.3.x 버전에서 Struts1 플러그인을 사용하는 경우 ※ Apache Struts2는 Struts 1의 Action을 사용하기 위해 Struts1 플러그인 제공 □ 대응 방안 o ActionMessage.class에 메시지를 전달할 때 값을 직접 전달하는 대신 리소스 키를 사용하도록 권고함 messages.add("msg", new ActionMessage("struts1.gangsterAdded", gform.getName())); [참고사이트] [1] https://cwiki.apache.org/confluence/display/WW/S2-048
0 comments
Suggested
Recent
1
Comment
3