【缝隙公告】Apache Struts XWork 组件 XXE 缝隙(CVE-2025-68493)

颁布功夫 2026-01-12

一、、 、缝隙概述


缝隙名称

Apache Struts XWork 组件 XXE 缝隙

CVE   ID

CVE-2025-68493

缝隙类型

XXE

发现功夫

2026-1-12

缝隙评分

9.8

缝隙等级

严重

攻击向量

网络

所需权限

无

利用难度

低

用户交互

不必要

PoC/EXP

未公开

在野利用

未发现


Apache Struts是一个基于Java的开源Web利用开发框架，，，选取MVC（模型-视图-节制器）架构模式，，，重要用于构建企业级Web利用。。Struts通过清澈分层，，，将业务逻辑、、 、页面展示和要求节制解耦，，，提升利用的可守护性与可扩大性。。其主题组件蕴含Struts Core、、 、XWork和OGNL，，，支持表单处置、、 、参数绑定、、 、拦截器机制及矫捷的配置方式。。Apache Struts曾在Java Web领域被宽泛利用，，，但因汗青上屡次出现高危安全缝隙，，，当前使用中需出格器重版本更新与安全加固。。


2026年1月12日，，，OG东方厅集团VSRC监测到Apache Struts框架中XWork组件存在的一处XML外部实体注入（XXE）缝隙。。该缝隙源于XWork在解析XML配置文件时，，，未对XML外部实体进行充分校验与限度，，，导致攻击者可通过机关恶意XML内容触发外部实体解析。。成功利用后，，，可能造成敏感数据泄露、、 、回绝服务（DoS）以及服务器端要求伪造（SSRF）等安全影响。。缝隙评分9.8分，，，缝隙级别严重。。


二、、 、影响领域


2.0.0 <= Apache Struts <= 2.3.37（2.3.x 分支已终场守护）
2.5.0 <= Apache Struts <= 2.5.33（2.5.x 分支已终场守护）
6.0.0 <= Apache Struts <= 6.1.0


三、、 、安全措施


3.1 升级版本


官方已颁布修复补丁，，，以修复该缝隙。。
Apache Struts >= 6.1.1


下载链接：https://struts.apache.org/download.cgi/


3.2 一时措施


自界说SAXParserFactory：通过设置xwork.saxParserFactory=指向自界说工厂类，，，默认禁用外部实体解析。。
JVM层面禁用外部实体：启动参数参与（置空可阻断所有和谈）：
-Djavax.xml.accessExternalDTD=
-Djavax.xml.accessExternalSchema=
-Djavax.xml.accessExternalStylesheet=。。


3.3 通用建议


? 定期更新系统补丁，，，削减系统缝隙，，，提升服务器的安全性。。
? 加强系统和网络的接见节制，，，批改防火墙战术，，，关闭非必要的利用端口或服务，，，削减将危险服务（如SSH、、 、RDP等）露出到公网，，，削减攻击面。。
? 使用企业级安全产品，，，提升企业的网络安全机能。。
? 加强系统用户和权限治理，，，启用多成分认证机制和最小权限准则，，，用户和软件权限应维持在最低限度。。
? 启用强密码战术并设置为定期批改。。


3.4 参考链接


https://cwiki.apache.org/confluence/display/WW/S2-069/