根据最近的报告，Apache Struts 2 中的一个关键漏洞被识别为 CVE-2024-53677，已被积极利用。Apache 在六天前披露了该漏洞，CVSS 4.0 评分为 9.5，将其归类为严重漏洞。该漏洞存在于软件的文件上传逻辑中，允许攻击者进行路径遍历并上传恶意文件，这可能导致远程代码执行。此问题影响 Struts 的多个版本，特别是 2.0.0 到 2.3.37、2.5.0 到 2.5.33 以及 6.0.0 到 6.3.0.2。来源
在野外观察到漏洞利用尝试，攻击者使用公开的概念验证（PoC）漏洞代码来识别易受攻击的系统。ISC SANS 的 Johannes Ullrich 报告说，这些尝试与 PoC 漏洞利用代码一致，主要集中在列举易受该漏洞影响的系统。攻击者利用此漏洞上传名为“exploit.jsp”的文件，该文件用于打印一行代码，并可能用作侦查工具来识别和定位易受攻击的服务器。来源
CVE-2024-53677 与早期缺陷 CVE-2023-50164 之间的相似性引发了人们的担忧，即该问题可能由于修复不完整而重新出现。这个反复出现的问题凸显了在软件开发生命周期中采取全面而强大的安全措施的必要性，以防止类似的漏洞再次出现。敦促使用 Apache Struts 的组织应用最新的补丁，以降低与此严重缺陷相关的风险。来源