一、漏洞详情

Apache Struts是一个免费、开源的MVC框架，用于创建Java Web应用程序。

Apache发布安全公告，修复了Struts 2中的两个拒绝服务漏洞：

CVE-2023-34149：Apache Struts 2拒绝服务漏洞（S2-063）

Apache Struts 2中，先前向XWorkListPropertyAccessor 添加了autoGrowCollectionLimit，但它只处理setProperty()而不处理getProperty()。如果开发人员已将底层Collection类型字段的 CreateIfNull设置为true，可能会由于未正确检查列表边界而导致OOM（内存耗尽），造成拒绝服务。

CVE-2023-34396：Apache Struts 2拒绝服务漏洞（S2-064）

Apache Struts 2多个受影响版本中，当多部分请求具有非文件标准格式字段时，Struts会将它们作为字符串放入内存，而不检查它们的大小。如果开发人员将struts.multipart.maxSize设置为等于或大于可用内存的值，则可能导致OOM，造成拒绝服务。

建议受影响用户做好资产自查以及预防工作，以免遭受黑客攻击。

二、影响范围

Apache Struts <=2.5.30

Apache Struts <=6.1.2

三、修复建议

目前这些漏洞已经修复，受影响用户可更新到Apache Struts 2.5.31、6.1.2.1或更高版本。