Apache Struts 2.5.14 <= 2.5.33 / 6.x < 6.12.0 / 7.x < 7.4.0 拒絕服務 （S2-076）
high Nessus Plugin ID 364467
語言:
概要
遠端主機上的 Apache Struts 安裝受到拒絕服務弱點影響。說明
遠端主機上安裝的 Apache Struts 版本是2.5.14透過 、 或 6.12.06.x 之前 或 7.x7.4.02.5.33之前。因此，它會受到拒絕服務弱點的影響，如 S2-076 公告中所述：- Apache Struts 中的不對稱資源消耗 （放大） 弱點。當要求參數繫結至任意精確度十進制 （java.math.BigDecimal） 屬性，然後透過 Struts 標籤程式庫轉譯時，架構可以產生比要求大許多數量級的回應，讓未經驗證的遠端攻擊者以持續的低流量耗盡伺服器 CPU 和傳出網路容量。未將要求參數繫結至 BigDecimal 屬性，或從未透過 Struts 標籤程式庫轉譯這類屬性的應用程式，不會受到影響。（CVE-2026-104712）
Nessus 無法驗證應用程式是否將要求參數繫結至 BigDecimal 屬性，並透過 Struts 標籤程式庫呈現這些參數，因此此發現項目會標記為潛在弱點。
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Apache Struts 6.12.0 / 7.4.0 版或更新版本。或者，套用廠商安全性公告中所述的因應措施。另請參閱
https://cwiki.apache.org/confluence/spaces/WW/pages/446071762/S2-076
Plugin 詳細資訊
嚴重性: High
ID: 364467
檔案名稱: struts_S2-076.nasl
版本: 1.1
類型: Local
代理程式: windows, macosx, unix
系列: Misc.
已發布: 2026/10/9
已更新: 2026/10/9
組態: 啟用 Paranoid 模式, 啟用徹底檢查 (optional)
支援的感應器: Frictionless Assessment Agent, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Low
分數: 3
百分位數: 23.68
CVSS v3
風險因素: High
基本分數: 7.5
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
弱點資訊
CPE: cpe:/a:apache:struts
必要的 KB 項目: Settings/ParanoidReport
修補程式發佈日期: 2026/10/2
弱點發布日期: 2026/10/5
參考資訊
CVE: CVE-2026-104712
IAVA: 2026-A-1088