Apache · Struts
CVE-2017-9805
Apache Struts Deserialization of Untrusted Data Vulnerability
已被用于攻击
高 8.1 受攻击概率：99.4%
这是什么
The REST Plugin in Apache Struts 2.1.1 through 2.3.x before 2.3.34 and 2.5.x before 2.5.13 uses an XStreamHandler with an instance of XStream for deserialization without any type filtering, which can lead to Remote Code Execution when deserializing XML payloads.
CISA: Apache Struts REST Plugin uses an XStreamHandler with an instance of XStream for deserialization without any type filtering, which can lead to remote code execution when deserializing XML payloads.
该怎么做
Apply updates per vendor instructions.
美国联邦机构的修复期限：2022年5月3日
- 加入 CISA 列表
- 2021年11月3日
- 发布日期
- 2017年9月15日
- 严重程度
- 高 8.1 CVSS 3.1
- 未来 30 天遭受攻击的概率（EPSS）
- 99.4% 位列所有已知漏洞的前 0.1%
- 弱点类型
- CWE-502
- 更多详情
- NVD · CVE.org · CISA
全部参考链接（12）
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170907-struts2
- http://www.oracle.com/technetwork/security-advisory/alert-cve-2017-9805-3889403.html
- https://struts.apache.org/docs/s2-052.html
- http://www.securitytracker.com/id/1039263
- http://www.securityfocus.com/bid/100609
- https://bugzilla.redhat.com/show_bug.cgi?id=1488482
- https://blogs.apache.org/foundation/entry/apache-struts-statement-on-equifax
- https://www.exploit-db.com/exploits/42627/
- https://lgtm.com/blog/apache_struts_CVE-2017-9805
- https://cwiki.apache.org/confluence/display/WW/S2-052
- https://security.netapp.com/advisory/ntap-20170907-0001/
- https://www.kb.cert.org/vuls/id/112992
Apache 的其他被利用漏洞
| 加入日期 | 漏洞 | 产品 | 严重程度 | 受攻击概率 |
|---|---|---|---|---|
| 2026年10月8日 | Command Injection | Struts | 高 8.1 | 97% |
| 2022年3月25日 | Improper Input Validation | Struts | 严重 9.8 | >99.9% |
| 2021年11月3日 | Remote Code Execution | Struts | 严重 9.8 | >99.9% |
| 2021年11月3日 | Remote Code Execution | Struts | 高 8.1 | >99.9% |
| 2021年11月3日 | Remote Code Execution | Struts | 严重 9.8 | 96% |
| 2026年8月4日 | Missing Encryption of Sensitive Data | Tomcat | 高 7.5 | 99% |
| 2026年4月16日 | Improper Input Validation | ActiveMQ | 高 8.8 | 98% |
| 2025年5月1日 | Improper Escaping of Output | HTTP Server | 严重 9.1 | >99.9% |
来源：Known Exploited Vulnerabilities（CISA，公有领域）、CVE records（cve.org）和 EPSS（FIRST）。受攻击概率是 EPSS 对未来 30 天内有人尝试利用该漏洞的估计。