Apache Struts2远程代码执行漏洞 (CVE-2021-31805) 安全通告

近日，奇安信CERT监测到Apache官方发布安全更新，其中修复了Apache Struts2远程代码执行漏洞(CVE-2021-31805)，在某些标签中若后端通过 %{...} 形式对其属性进行赋值，则将对OGNL表达式进行二次解析，从而执行恶意代码，且该漏洞是S2-061的绕过。此漏洞POC、技术细节已公开，经过奇安信CERT研判，此漏洞POC有效。鉴于此漏洞影响范围极大，建议客户尽快做好自查，及时更新至最新版本或采取缓解措施。