九游老哥云
Apache Struts2（S2-052） 远程代码执行误差 威胁预警通告
2017-09-06
综述
2017年9月5日，Apache Struts宣布最新的清静通告，Apache Struts 2.5.x的REST插件保存远程代码执行的高危误差，误差编号为CVE-2017-9805（S2-052）。误差的成因是由于使用XStreamHandler反序列化XStream实例的时间没有任何类型过滤导致远程代码执行。
相关链接如下：
https://cwiki.apache.org/confluence/display/WW/S2-052
影响版本
Struts 2.5 - Struts 2.5.12
规避计划
连忙升级到Struts 2.5.13。
注重：
新版本使用的默认限制战略会导致REST的一些函数阻止事情，会对一些营业造成影响，建议使用以下新的接口：
§org.apache.struts2.rest.handler.AllowedClasses
§org.apache.struts2.rest.handler.AllowedClassNames
§org.apache.struts2.rest.handler.XStreamPermissionProvider
暂时修复计划
1.阻止使用REST插件。
2.限制服务端扩展类型:
<constant name="struts.action.extension" value="xhtmljson" />
声 明
==============
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
