CVE-2017-9805 (CNNVD-201706-914)

HIGH 有利用代码
中文标题:
Apache Struts 代码问题漏洞
英文标题:
The REST Plugin in Apache Struts 2.1.1 through 2.3.x before 2.3.34 and 2.5.x before 2.5.13 uses an X...
CVSS分数: 8.1
发布时间: 2017-09-15 19:00:00
漏洞类型: 代码问题
状态: PUBLISHED
数据质量分数: 0.30
数据版本: v4
漏洞描述
中文描述:

Apache Struts是美国阿帕奇（Apache）软件基金会的一个开源项目，是一套用于创建企业级Java Web应用的开源MVC框架，主要提供两个版本框架产品，Struts 1和Struts 2。REST plugin是其中的一个处理传入URL请求的插件。 Apache Struts 2.5版本至2.5.12版本和2.1.2版本至2.3.33版本的REST插件存在远程代码执行漏洞。当Struts2通过REST插件使用XStream的实例xstreamhandler处理反序列化XML有效载荷时没有进行任何过滤，导致远程攻击者可以利用该漏洞构造恶意的XML内容，进而获取业务数据或服务器权限，执行任意代码。

英文描述:

The REST Plugin in Apache Struts 2.1.1 through 2.3.x before 2.3.34 and 2.5.x before 2.5.13 uses an XStreamHandler with an instance of XStream for deserialization without any type filtering, which can lead to Remote Code Execution when deserializing XML payloads.

CWE类型:
CWE-502
标签:
remote linux Warflop
受影响产品
厂商 产品 版本 版本范围 平台 CPE
Apache Software Foundation Apache Struts Apache Struts before 2.3.34 and 2.5.x before 2.5.13 - - cpe:2.3:a:apache_software_foundation:apache_struts:apache_struts_before_2.3.34_and_2.5.x_before_2.5.13:*:*:*:*:*:*:*
apache struts * - - cpe:2.3:a:apache:struts:*:*:*:*:*:*:*:*
cisco digital_media_manager - - - cpe:2.3:a:cisco:digital_media_manager:-:*:*:*:*:*:*:*
cisco hosted_collaboration_solution 10.5\(1\) - - cpe:2.3:a:cisco:hosted_collaboration_solution:10.5\(1\):*:*:*:*:*:*:*
cisco hosted_collaboration_solution 11.0\(1\) - - cpe:2.3:a:cisco:hosted_collaboration_solution:11.0\(1\):*:*:*:*:*:*:*
cisco hosted_collaboration_solution 11.5\(1\) - - cpe:2.3:a:cisco:hosted_collaboration_solution:11.5\(1\):*:*:*:*:*:*:*
cisco hosted_collaboration_solution 11.6\(1\) - - cpe:2.3:a:cisco:hosted_collaboration_solution:11.6\(1\):*:*:*:*:*:*:*
cisco media_experience_engine 3.5 - - cpe:2.3:a:cisco:media_experience_engine:3.5:*:*:*:*:*:*:*
cisco media_experience_engine 3.5.2 - - cpe:2.3:a:cisco:media_experience_engine:3.5.2:*:*:*:*:*:*:*
cisco network_performance_analysis - - - cpe:2.3:a:cisco:network_performance_analysis:-:*:*:*:*:*:*:*
cisco video_distribution_suite_for_internet_streaming - - - cpe:2.3:a:cisco:video_distribution_suite_for_internet_streaming:-:*:*:*:*:*:*:*
netapp oncommand_balance - - - cpe:2.3:a:netapp:oncommand_balance:-:*:*:*:*:*:*:*
解决方案
中文解决方案:
（暂无数据）
英文解决方案:
（暂无数据）
临时解决方案:
（暂无数据）
参考链接
无标题 x_refsource_CONFIRM
cve.org
访问
无标题 x_refsource_CONFIRM
cve.org
访问
1039263 vdb-entry
cve.org
访问
100609 vdb-entry
cve.org
访问
20170907 Multiple Vulnerabilities in Apache Struts 2 Affecting Cisco Products: September 2017 vendor-advisory
cve.org
访问
无标题 x_refsource_CONFIRM
cve.org
访问
无标题 x_refsource_CONFIRM
cve.org
访问
42627 exploit
cve.org
访问
无标题 x_refsource_MISC
cve.org
访问
无标题 x_refsource_CONFIRM
cve.org
访问
无标题 x_refsource_CONFIRM
cve.org
访问
VU#112992 third-party-advisory
cve.org
访问
134c704f-9b21-4f2e-91b3-4a467353bcc0 OTHER
nvd.nist.gov
访问
ExploitDB EDB-42627 EXPLOIT
exploitdb
访问
Download Exploit EDB-42627 EXPLOIT
exploitdb
访问
CVE Reference: CVE-2017-9805 ADVISORY
cve.org
访问
CVSS评分详情
3.1 (adp)
HIGH
8.1
CVSS向量: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
机密性
HIGH
完整性
HIGH
可用性
HIGH
时间信息
发布时间:
2017-09-15 19:00:00
修改时间:
2025-10-21 23:55:34
创建时间:
2025-11-11 15:34:56
更新时间:
2025-11-11 16:44:41
利用信息
此漏洞有可利用代码！
利用代码数量: 1
利用来源:
未知
数据源详情
数据源 记录ID 版本 提取时间
CVE cve_CVE-2017-9805 2025-11-11 15:19:34 2025-11-11 07:34:56
NVD nvd_CVE-2017-9805 2025-11-11 14:55:31 2025-11-11 07:43:32
CNNVD cnnvd_CNNVD-201706-914 2025-11-11 15:09:50 2025-11-11 07:53:07
EXPLOITDB exploitdb_EDB-42627 2025-11-11 15:05:25 2025-11-11 08:44:41
版本与语言
当前版本: v4
主要语言: EN
支持语言:
EN ZH
其他标识符:
:
:
安全公告
暂无安全公告信息
变更历史
v4 EXPLOITDB
2025-11-11 16:44:41
references_count: 13 → 16; tags_count: 0 → 3; data_sources: ['cnnvd', 'cve', 'nvd'] → ['cnnvd', 'cve', 'exploitdb', 'nvd']
查看详细变更
  • references_count: 13 -> 16
  • tags_count: 0 -> 3
  • data_sources: ['cnnvd', 'cve', 'nvd'] -> ['cnnvd', 'cve', 'exploitdb', 'nvd']
v3 CNNVD
2025-11-11 15:53:07
vulnerability_type: 未提取 → 代码问题; cnnvd_id: 未提取 → CNNVD-201706-914; data_sources: ['cve', 'nvd'] → ['cnnvd', 'cve', 'nvd']
查看详细变更
  • vulnerability_type: 未提取 -> 代码问题
  • cnnvd_id: 未提取 -> CNNVD-201706-914
  • data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
v2 NVD
2025-11-11 15:43:32
affected_products_count: 1 → 12; references_count: 12 → 13; data_sources: ['cve'] → ['cve', 'nvd']
查看详细变更
  • affected_products_count: 1 -> 12
  • references_count: 12 -> 13
  • data_sources: ['cve'] -> ['cve', 'nvd']