Apache Struts 2 Remote Code Execution(RCE) Flaw

Question

根据链接 Struts 2 易受攻击，建议 Struts 2.3 的用户升级到 2.3.35;Struts 2.5 的用户需要升级才能升级到 2.5.17。

我正在使用struts 2.3版本和最新版本仅包含漏洞的修复程序，不保证向后兼容性。

请建议我应该遵循什么其他选择？

Answer 1

执行以下一项或多项操作(1 和 3 是互斥锁( 1-完全升级和回归测试 2-实施安全管理器策略以阻止文件权限执行 3-如果您在升级所有支柱时遇到问题，请尝试升级ognl jar。在这些问题之后，Struts 团队通常会加强 OGNL 沙盒。

话虽如此，1 和 2 都是您最好的选择。使您的安全管理器策略尽可能严格。