CVE-2020-17530 - 漏洞详情

CVE-2020-17530 (CNNVD-202012-449)

CRITICAL

中文标题:

Apache Struts 代码注入漏洞

英文标题:

Forced OGNL evaluation, when evaluated on raw user input in tag attributes, may lead to remote code ...

CVSS分数: 9.8

发布时间: 2020-12-11 01:11:04

漏洞类型: 代码注入

状态: PUBLISHED

数据质量分数: 0.30

数据版本: v3

漏洞描述

中文描述:

Apache Struts是美国阿帕奇（Apache）基金会的一个开源项目，是一套用于创建企业级Java Web应用的开源MVC框架，主要提供两个版本框架产品，Struts 1和Struts 2。 Struts 存在代码注入漏洞，攻击者可利用该漏洞可以通过强迫Struts的OGNL评估来使用漏洞来运行代码。

英文描述:

Forced OGNL evaluation, when evaluated on raw user input in tag attributes, may lead to remote code execution. Affected software : Apache Struts 2.0.0 - Struts 2.5.25.

CWE类型:

CWE-917

受影响产品

厂商	产品	版本	版本范围	平台	CPE
Apache Software Foundation	Apache Struts	Struts 2.0.0 - Struts 2.5.25	-	-	`cpe:2.3:a:apache_software_foundation:apache_struts:struts_2.0.0_-_struts_2.5.25:::::::*`
apache	struts	*	-	-	`cpe:2.3:a:apache:struts::::::::`
oracle	business_intelligence	12.2.1.3.0	-	-	`cpe:2.3:a:oracle:business_intelligence:12.2.1.3.0::::enterprise:::`
oracle	business_intelligence	12.2.1.4.0	-	-	`cpe:2.3:a:oracle:business_intelligence:12.2.1.4.0::::enterprise:::`
oracle	communications_diameter_intelligence_hub	8.0.0	-	-	`cpe:2.3:a:oracle:communications_diameter_intelligence_hub:8.0.0:::::::*`
oracle	communications_diameter_intelligence_hub	8.1.0	-	-	`cpe:2.3:a:oracle:communications_diameter_intelligence_hub:8.1.0:::::::*`
oracle	communications_diameter_intelligence_hub	8.2.0	-	-	`cpe:2.3:a:oracle:communications_diameter_intelligence_hub:8.2.0:::::::*`
oracle	communications_diameter_intelligence_hub	8.2.3	-	-	`cpe:2.3:a:oracle:communications_diameter_intelligence_hub:8.2.3:::::::*`
oracle	communications_policy_management	12.5.0	-	-	`cpe:2.3:a:oracle:communications_policy_management:12.5.0:::::::*`
oracle	communications_pricing_design_center	12.0.0.3.0	-	-	`cpe:2.3:a:oracle:communications_pricing_design_center:12.0.0.3.0:::::::*`
oracle	financial_services_data_integration_hub	8.0.3	-	-	`cpe:2.3:a:oracle:financial_services_data_integration_hub:8.0.3:::::::*`
oracle	financial_services_data_integration_hub	8.0.6	-	-	`cpe:2.3:a:oracle:financial_services_data_integration_hub:8.0.6:::::::*`
oracle	hospitality_opera_5	5.6	-	-	`cpe:2.3:a:oracle:hospitality_opera_5:5.6:::::::*`
oracle	mysql_enterprise_monitor	8.0.23	-	-	`cpe:2.3:a:oracle:mysql_enterprise_monitor:8.0.23:::::::*`

解决方案

中文解决方案:

（暂无数据）

英文解决方案:

（暂无数据）

临时解决方案:

（暂无数据）

参考链接

无标题 x_refsource_CONFIRM
cve.org

访问

JVN#43969166 third-party-advisory
cve.org

访问