鼓励Apache Struts用户更新到Commons FileUpload库的最新版本，以通过分别跟踪为CVE-2016-1000031和CVE-2014-0050的漏洞来防止远程代码执行和拒绝服务（DoS）攻击
作为开源Web应用程序开发框架，Struts使用内置的Commons FileUpload软件包将文件上传功能添加到其用户的servlet和Web应用程序中。 但是，从2.3.36开始的早期版本的Struts易于通过内置的Commons FileUpload 1.3.2进行远程代码执行和DoS攻击，该漏洞带有上述两个漏洞。
漏洞
Apache的建议是Tenable首次发现远程代码执行（CVE-2016-1000031）两年之后的事，Tenable发现Commons FileUpload库中的Java对象可以进行反序列化，从而可以将任意文件写入磁盘。
另一方面，Apache早在2014年就披露了可能导致DoS攻击的漏洞（CVE-2014-0050）。根据公告，该漏洞可能允许恶意威胁参与者创建多部分请求 导致Commons FileUpload进入可用于DoS攻击的循环。
补丁
幸运的是，这些漏洞已在Commons FileUpload的1.3.3版本中修复。 鼓励Apache Struts用户（尤其是2.3.36版或更早版本的用户）进行相应的更新。
通过用新版本替换WEB-INF / lib中的commons-fileupload JAR文件，指示用户手动更新到Commons FileUpload 1.3.3。 可以从Apache Struts团队的此消息中找到更详细的说明。
历史和意义
Apache于几个月前发布了针对另一种远程执行代码漏洞（CVE-2018-11776）的安全公告，敦促用户将其更新至最新版本。 已修补的Apache漏洞似乎仍在威胁威胁者的视野中，据报道，它针对目标为CVE-2017-5638的Mirai新变种证明了这一点。
考虑到利用漏洞可能产生的影响，对于所有用户而言，保持领先地位对于这些漏洞而言仍然很重要。 像Apache这样的案例表明，在涉及漏洞时，不仅涉及的开发人员而且个人用户都必须采取迅速而熟练的行动。 趋势科技解决方案
趋势科技™趋势科技服务器深度安全防护系统提供虚拟补丁程序，可保护服务器和端点免受威胁，这些威胁会滥用诸如Apache Struts等关键应用程序中的漏洞。 趋势科技™TippingPoint®系统通过DigitalVaccine™过滤器针对网络可利用的漏洞提供虚拟补丁和广泛的零日保护。 趋势科技™Deep Discovery™解决方案可通过专门的引擎，自定义沙盒以及在整个攻击生命周期中实现无缝关联，利用漏洞利用和其他类似威胁，对攻击进行检测，深入分析和主动响应，从而即使在没有威胁的情况下也能检测到威胁 任何引擎或模式更新。
趋势科技趋势科技服务器深度安全防护系统解决方案通过以下深度数据包检查（DPI）规则保护用户系统免受可能以CVE-2016-1000031为目标的任何威胁： 1007185-Java未序列化远程执行代码漏洞
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时候联系我们修改或删除，多谢