d00kie 29 июл 2013 в 14:52

Struts2 is under attack или CVE-2013-2115

4 мин

12K

Информационная безопасность *

+34

Комментарии 13

НЛО прилетело и опубликовало эту надпись здесь

skywatcher 29 июл 2013 в 16:02

Я использовал Struts 2 для нескольких своих проектов и на работе и в принципе фреймворк оставил «довольно» теплые чувства. Есть альтернатива конечно в виде Spring MVC — но на мой взгляд более «толстая». Есть Play — но к нему у многих отношение весьма скептические к нему. Да и я почему-то к нему тоже несколько скептически настроен и не писал на нем ни одного проекта серьезнее hello world(возможно потому, что он отличается от Энтерпрайз фреймворков в моем понимании).

Какие еще альтернативы можете порекомендовать?

alist 29 июл 2013 в 16:27

Часто используют JAX-RS или что-то подобное в сочетании со статическим фронтендом. При этом фронтенд часто пишут на JS (или компилируемых в него языках) и оформляют в виде отдельного проекта, в которм ни строчки кода на Java. Результатом сборки является набор статических файлов, которые заливают на CDN. Общение между фронендом и бекендом либо через ajax, либо по вебсоккетам. UI в привычном понимании в Java-проекте отсутствует: сервер просто предоставляет API.

skywatcher 29 июл 2013 в 16:33

В случае с Rest сервисом (по крайней мере для меня) — я довольно быстро клепаю бэкенд, но потом на фронтенд работу уходит довольно много времени, если делать ее самостоятельно(по крайней мере для меня). Суммарно больше, чем если лепить на Struts2/Srping MVC + JSP.

eyeless_watcher 29 июл 2013 в 16:58

Есть информация, с какой версии оно появилось? Есть ли смысл срочно обновляться с 2.1.x или 2.2.x?

d00kie 29 июл 2013 в 19:35

Да. Уязвима вся вторая ветка: Affected Software Struts 2.0.0 — Struts 2.3.15

khanid 29 июл 2013 в 17:19

Судя по китайскому источнику, там и 2.3.15 уязвима. Эта же 2.3.15 висит и для скачки как «Best available».
Ошибся веткой. Комментарий предназначался уважаемому eyeless_watcher.

eyeless_watcher 29 июл 2013 в 17:27

Я понимаю, что уязвима свежая ветка. Вопрос состоит в том, успели ли в той версии ognl, которая идет в комплекте с версиями нескольких лет давности добавить те возможности, которые вылились в эту уязвимость.