как исправить уязвимости в стойках

Question

Я работаю над унаследованным приложением, и недавно я узнал, что есть уязвимости в версиях стоек 1 и стоек 2, и нашел следующую ссылку через Google.

https://www.cvedetails.com/cve/CVE-2016-1182/

https://www.cvedetails.com/vulnerability-list.php?vendor_id=45&product_id=6117&version_id=164427&page=1&hasexp=0&opdos=0&opec=0&opov=0&opcsrf=0&opgpriv=0&opsqli=0&opxss=0&opdirt=0&opmemc=0&ophttprs=0&opbyp=0&opfileinc=0&opginf=0&cvssscoremin=0&cvssscoremax=0&year=0&month=0&cweid=0&order=1&trc=3&sha=879cec76600e380d5c5eb51b0257e838f4dac6cf

Здесь я запутался, как исправить эти уязвимости. Может ли кто-нибудь помочь мне в этом.

Answer 1

Apache Struts 1 достиг своего EOL в декабре 2008 года. В это время любая официальная поддержка была прекращена.

Я перечислил 3 варианта, которые нашел, исследуя одно и то же:

• Как сказал кто-то еще в этой теме, самым безопасным вариантом будет обновление до Struts 2. Несмотря на то, что они имеют одно и то же имя, они архитектурно совершенно разные. Недавно я рассмотрел эту опцию для проекта, над которым я работаю, и я должен предупредить, что это может быть монументальной задачей, если вы работаете с большой кодовой базой.
• Плагин Struts 1 - Struts 2 - этот плагин используется для переноса Struts 1 Actions и ActionForms в классы Struts 2 Action. Вы можете использовать это, чтобы добавить некоторые функции более новой версии для проверки. Вам нужно будет исследовать, активно ли это принимается и поддерживается, прошло много времени с тех пор, как я изучал его.
• Создание пользовательских исправлений безопасности для вашего старого приложения.

Answer 2

Лучшее, что можно сделать, - это обновить его до последней версии. Struts 1 - это End of Life, и он не будет получать никаких обновлений, чтобы исправить все еще существующие проблемы

В последних версиях Struts 2, похоже, нет опубликованных CVE, поэтому я рекомендую обновить их как можно скорее. Это не простая задача, чтобы перейти на Struts2 с огромными различиями, но если вы не исправите уязвимости в Struts1 самостоятельно, то вам еще мало что можно сделать.