apache struts2 最新s2-037漏洞分析
天融信阿尔法实验室 李喆 张萌 李明政
最近struts2又爆出了一个新的远程命令执行漏洞s2-037，CVE编号为CVE-2016-4438,天融信阿尔法实验室第一时间跟进了该漏洞，并搭建了相应环境对漏洞进行了复现和分析。
1 struts2 s2-037远程代码执行漏洞介绍
S2-037的漏洞利用思路建立在s2-033的基础只上，还是对method没有进行过滤导致的，漏洞影响Struts 2.3.20 – Struts 2.3.28.1版本，使用到REST插件的Struts2应用，会被攻击者实现远程代码执行攻击,struts2 历次的漏洞公告和详情官方都有[......]