【缝隙公告】Apache Struts XWork 组件 XXE 缝隙(CVE-2025-68493)

颁布功夫 2026-01-12

一、缝隙概述


缝霞称

Apache Struts XWork 组件 XXE 缝隙

CVE   ID

CVE-2025-68493

缝隙类型

XXE

发现功夫

2026-1-12

缝隙评分

9.8

缝隙等级

严沉

攻击向量

网络

所需权限

无

利用难度

低

用户交互

不必要

PoC/EXP

未公开

在野利用

未发现


Apache Struts是一个基于Java的开源Web利用开发框架，选取MVC（模型-视图-节造器）架构模式，重要用于构建企业级Web利用。Struts通过清澈分层，将业务逻辑、页面展示和要求节造解耦，提升利用的可守护性与可扩大性。其主题组件蕴含Struts Core、XWork和OGNL，支持表单处置、参数绑定、拦截器机造及矫捷的配置方式。Apache Struts曾在Java Web领域被宽泛利用，但因汗青上屡次出现高危安全缝隙，当前使用中需出格器沉版本更新与安全加固。


2026年1月12日，宝运莱官方网站集团VSRC监测到Apache Struts框架中XWork组件存在的一处XML表部实体注入（XXE）缝隙。该缝隙源于XWork在解析XML配置文件时，未对XML表部实体进行充分校验与限度，导致攻击者可通过机关恶意XML内容触颁发部实体解析。成功利用后，可能造成敏感数据泄露、回绝服务（DoS）以及服务器端要求伪造（SSRF）等安全影响。缝隙评分9.8分，缝隙级别严沉。


二、影响领域


2.0.0 <= Apache Struts <= 2.3.37（2.3.x 分支已终场守护）
2.5.0 <= Apache Struts <= 2.5.33（2.5.x 分支已终场守护）
6.0.0 <= Apache Struts <= 6.1.0


三、安全措施


3.1 升级版本


官方已颁布建复补丁，以建复该缝隙。
Apache Struts >= 6.1.1


下载链接：https://struts.apache.org/download.cgi/


3.2 一时措施


自界说SAXParserFactory：通过设置xwork.saxParserFactory=指向自界说工厂类，默认禁用表部实体解析。
JVM层面禁用表部实体：启动参数参与（置空可阻断所有和谈）：
-Djavax.xml.accessExternalDTD=
-Djavax.xml.accessExternalSchema=
-Djavax.xml.accessExternalStylesheet=。


3.3 通用建议


? 定期更新系统补丁，削减系统缝隙，提升服务器的安全性。
? 加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面。
? 使用企业级安全产品，提升企业的网络安全机能。
? 加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度。
? 启用强密码战术并设置为定期批改。


3.4 参考链接


https://cwiki.apache.org/confluence/display/WW/S2-069/