Apache Struts代码执行高危漏洞咨询及合规处理方案确认

漏洞核心风险 #

近期漏洞扫描揪出的这个Apache Struts代码执行漏洞属于高危级别——攻击者能借此在系统里执行任意Struts代码，甚至直接运行系统命令，相当于把服务器的控制权拱手让人，数据泄露、系统被篡改这类严重后果都可能发生，风险绝对不能忽视。

落地修复方案 #

根据业务实际情况，分两种优先级处理：

• 优先推荐（非业务必需时）：直接禁止接收会被Struts直接解析为源代码的终端用户输入。从根源上切断攻击路径，这是最稳妥的防御方式。
• 业务必需时的妥协方案：如果业务逻辑确实离不开这类输入，必须做严格的输入校验与清洗：
  • 对所有用户输入做全量校验，移除或转义所有可被Struts直接解析为代码的内容（比如OGNL表达式相关的特殊字符、关键字等）
  • 采用白名单机制，只允许预设的合法输入内容通过，拒绝所有不在白名单内的请求
  • 尽量避免将用户输入直接传入Struts的动态表达式解析逻辑，改用安全的参数绑定方式

额外提醒：修复完成后一定要重新做漏洞扫描验证，确保漏洞完全闭合；同时建议定期监控服务器的异常进程和日志，及时发现潜在的攻击痕迹。

内容的提问来源于stack exchange，提问作者user2331417