Apache Struts 2 中的一个关键漏洞正被攻击者利用公开漏洞寻找易受攻击的设备。 Apache Struts 是一个开源框架，用于构建基于 Java 的网络应用程序。 Apache 最近正式披露了 CVE-2024-53677（CVSS 得分：9.5），该漏洞是在文件上传逻辑中发现的。 正如 Apache 安全公告所指出的，对文件上传参数的操作允许路径遍历，在某些情况下，上传的恶意文件可用于远程代码执行 (RCE)。
实际上，该漏洞提供了向受保护目录下载网络外壳的能力。 这些文件可用于执行命令、下载其他恶意组件和窃取数据。 专家们将该漏洞与 CVE-2023-50164 进行了比较，指出由于补丁不完整，类似问题有可能再次出现。 ISC SANS 已检测到使用公开可用漏洞的攻击企图。 目前，这些尝试的目的是枚举易受攻击的系统。 黑客利用漏洞下载 "exploit.jsp "文件，该文件包含一行代码，可输出 "Apache Struts "文本。 然后，攻击者会检查脚本的访问权限，以确保攻击成功。 迄今为止，仅有一个 IP 地址（169.150.226.162）报告了漏洞利用情况。 为保护自身安全，Apache 建议升级到 Struts 6.4.0 或更高版本，并改用新的文件上传机制。 仅打补丁是不够的：需要重新修改与文件上传相关的代码，以便使用新机制。 Apache 警告说，旧的文件上传系统仍然存在漏洞。 使用 Struts 的企业需要调整操作和相关拦截器，以尽量降低风险。
对该漏洞的积极利用已引起加拿大、澳大利亚和比利时国家网络安全机构的关注。 这些国家发出警告，敦促软件开发商立即采取行动。
AI API 安全 DMARC 中国 云安全 五角大楼 人工智能 关税 加密货币 勒索软件 品牌冒充 国家安全 威胁情报 应用程序安全 恶意软件 数字货币 时事政治 时政 时政新闻 木马病毒 欺诈管理和网络犯罪 欺骗 民族国家攻击 漏洞和威胁 特朗普政府 社会工程学 社会工程学、网络战 移动安全 端点安全 缺口 网络安全 网络安全运营 网络攻击和数据泄露 网络犯罪 网络罪犯 网络钓鱼 网络间谍 网络风险 美国贸易代表办公室 联邦贸易委员会 脆弱性 金融与银行 间谍软件 阿联酋 骗局