发布日期：2014-05-06
更新日期：2014-05-07
受影响系统：
Apache Group Struts < 2.3.16.3
不受影响系统：
Apache Group Struts 2.3.16.3
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 67218
CVE(CAN) ID: CVE-2014-0116
Struts是用于构建Web应用的开放源码架构。
Apache Struts 2.0.0-2.3.16.2版本没有正确限制对"class"参数的访问权，该参数通过CookieInterceptor直接映射到 "getClass()"方法。当"*"用来配置cookiesName参数时，攻击者可利用此漏洞篡改应用服务器使用的ClassLoader，然后更改会话或请求的状态。该漏洞源于对CVE-2014-0113的不完整修复。
推荐阅读：
<*来源：Zubair Ashraf
链接：
*>
建议：
--------------------------------------------------------------------------------
临时解决方法：
如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：
*不要使用通配符映射来接受cookie名称或根据Struts 2.3.16.3内提供的代码实现CookieInterceptor。
厂商补丁：
Apache Group
------------
Apache Group已经为此发布了一个安全公告（s2-022）以及相应补丁:
s2-022：s2-022
链接：
补丁下载：