在 Apache Struts 2.1.6 至 2.3.x 的 2.3.34 之前版本以及 2.5.x 的 2.5.13 之前版本中，REST Plugin 使用的 XStreamHandler 具有用於還原序列化的 XStream 執行個體，在對 XML 承載進行還原序列化時，並未執行任何類型篩選作業，這可以導致遠端程式碼執行弱點。

遠端主機上安裝的 Oracle WebLogic Server 版本受到多個 Apache Struts 2 弱點影響。在資產上偵測到下列其中一個弱點：

  - CVE-2017-5638：Apache Struts 2 中的 Jakarta Multipart 剖析器，尤其是 2.3.32 之前的 2.3.x，及 2.5.10.1 之前的 2.5.x
  - CVE-2017-7672：Apache Struts 版本 < 2.5.12
  - CVE-2017-9787：Apache Struts 版本 < 2.5.12 或 2.3.33
  - CVE-2017-9791：Apache Struts 2.3.x 中的 Struts 1 外掛程式
  - CVE-2017-9793：Apache Struts < 2.3.7 - 2.3.33 與 < 2.5 - 2.5.12
  - CVE-2017-9804：Apache Struts 2.3.7 - 2.3.33 與 < 2.5 - 2.5.12
  - CVE-2017-12611：Apache Struts 2.0.1 - 2.3.33 與 2.5 - 2.5.10

遠端主機上執行的 Apache Struts 版本為 2.1.x 後繼版本，或是 2.1.2、2.2.x、比 2.3.34 舊的 2.3.x 版或比 2.5.13 舊的 2.5.x 版。因此受到多個弱點影響：- 在 REST 外掛程式中，有一個遠端程式碼執行弱點存在。Struts REST 外掛程式使用的 XStreamHandler 具有用於還原序列化的 XStream 執行個體，在對 XML 承載進行還原序列化時，並未執行任何類型的篩選作業。未經驗證的遠端攻擊者可藉此透過傳送特製的 XML 承載，在 Struts REST 外掛程式內容中執行任意程式碼。(CVE-2017-9805) - 在 REST 外掛程式所使用的 XStreamHandler 中，XStream XML 還原序列化程式裡有一個拒絕服務弱點存在。(CVE-2017-9793) - 使用 URLValidator 時，有一個拒絕服務弱點存在。(CVE-2017-9804) - 有一個與「freemarker」標籤、運算式常值、「views/freemarker/FreemarkerManager.java」及強制運算式有關的缺陷存在，攻擊者可藉以執行任意程式碼。(CVE-2017-12611) 請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Web 應用程式使用的似乎是 Apache Struts 2 Web 架構。在 REST 外掛程式中存在一個遠端程式碼執行弱點，此弱點使用 XStreamHandler，在 XML 要求中不安全地還原序列化使用者提供的輸入。未經驗證的遠端攻擊者可加以惡意利用，透過特製的 XML 要求來執行任意程式碼。請注意，此外掛程式只會報告 Struts 2 應用程式的第一個有弱點的執行個體。

ID	名稱	產品	系列	已發布	已更新	嚴重性
112763	Apache Struts 2.1.6 < 2.3.34 / 2.5 < 2.5.13 遠端程式碼執行弱點 (S2-052)	Web App Scanning	Component Vulnerability	2021/4/28	2024/12/19	high
103663	Oracle WebLogic Server 多個弱點	Nessus	Misc.	2017/10/4	2025/7/28	critical
102960	Apache Struts 2.1.x >= 2.1.2 / 2.2.x / 2.3.x < 2.3.34 / 2.5.x < 2.5.13 Multiple Vulnerabilities (S2-050 - S2-053)	Nessus	Misc.	2017/9/5	2023/4/25	critical
102977	Apache Struts 2 REST 外掛程式 XStream XML 要求還原序列化 RCE	Nessus	CGI abuses	2017/9/6	2025/7/15	high

偵測

搜尋 Plugin

high

critical

critical

high