摘自：国家互联网应急中心上海分中心

昨天，J2EE框架Struts2再次被爆存在远程代码执行漏洞（S2-045），编号：CVE-2017-5638。受影响范围：Struts 2.3.5 - Struts 2.3.31, Struts 2.5 - Struts 2.5.10）

危害等级：及其严重

黑客可以利用该漏洞在远程服务器上执行任意系统命令，将会对受漏洞影响站点造成严重影响，引发数据泄露、网页篡改、后门植入、成为肉鸡等安全事件。

影响版本

Struts2.3.5 到 Struts2.3.31 以及 Struts2.5 到 Struts2.5.10

自查方式

查看web目录下/WEB-INF/lib/目录下的struts-core.x.x.jar 如果这个版本在Struts2.3.5 到 Struts2.3.31 以及 Struts2.5 到 Struts2.5.10之间则存在漏洞。

修复建议

更新至Struts 2.3.32 或者 Struts 2.5.10.1 或 使用第三方的防护设备进行防护。临时解决方案：删除commons-fileupload-x.x.x.jar文件（会造成上传功能不可用）。

由于该漏洞影响范围广，漏洞危害程度极为严重，请各用户及时采取措施，避免受影响。SHCERT将持续关注该漏洞。

参考链接：https://cwiki.apache.org/confluence/display/WW/S2-045?from=timeline&isappinstalled=0