CVE-2014-0094

描述

The ParametersInterceptor in Apache Struts before 2.3.16.2 allows remote attackers to "manipulate" the ClassLoader via the class parameter, which is passed to the getClass method.

如何修補 CVE-2014-0094

要修補 CVE-2014-0094,請將受影響套件升級到下列已修補版本。

• Maven/org.apache.struts.xwork:xwork-core—升級至 2.3.16.2 或更新版本
• Maven/org.apache.struts:struts2-core—升級至 2.3.16.2 或更新版本

CVE-2014-0094 正在被利用嗎?

可能 — EPSS 為 99.6%,屬於高被利用機率區間,建議優先修補。

受影響套件(2)

• >= 2.0.0, < 2.3.16.2
• >= 2.0.0, < 2.3.16.2

參考連結(12)

• ADVISORYnvd.nist.gov/vuln/detail/CVE-2014-0094
• PATCHgithub.com/apache/struts
• WEBjvn.jp/en/jp/JVN19294237/index.html
• WEBjvndb.jvn.jp/jvndb/JVNDB-2014-000045
• WEB