搜索

[4278] 2017-09-07_Struts2插件高危漏洞S2-052波及半数以上财富500强企业

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-09-07_Struts2插件高危漏洞S2-052波及半数以上财富500强企业 S t r u t s 2 插 件 高 危 漏 洞 S 2 - 0 5 2 波 及 半 数 以 上 财 富 5 0 0 强 企 业 原 创   E 小 编   E 安 全   2 0 1 7 - 0 9 - 0 7 E 安 全 9 月 7 日 讯   热 门 开 源 框 架 A p a c h e   S t r u t s 又 被 曝 存 在 远 程 代 码 执 行 漏 洞 （ 高 危 ） ， 漏 洞 编 号 C V E - 2 0 1 7 - 9 8 0 5 ， S 2 - 0 5 2 ， 再 一 次 没 有 辜 负 其 “ 万 年 漏 洞 王 ” 的 美 名 。 S e m m l e 研 究 人 员 发 现 了 这 个 高 危 漏 洞 ， 该 漏 洞 一 旦 被 黑 客 利 用 可 轻 易 控 制 受 影 响 的 服 务 器 ， 危 及 公 司 的 敏 感 数 据 安 全 。 攻 击 者 利 用 该 漏 洞 可 在 使 用 R E S T 插 件 运 行 应 用 程 序 的 服 务 器 上 远 程 执 行 代 码 。 即 当 用 户 使 用 带 有   X S t r e a m   程 序 的   S t r u t s   R E S T 插 件 来 处 理   X M L   p a y l o a d s   时 ， 可 能 会 遭 到 远 程 代 码 执 行 攻 击 。 受 影 响 的 版 本 受 影 响 的 版 本 研 究 人 员 指 出 ， 自 2 0 0 8 年 以 来 的 所 有 S t r u t s 版 本 （ S t r u c t s   2 . 5 - S t r u t s   2 . 5 . 1 2 ） 均 受 到 影 响 。 财 富 1 0 0 强 公 司 使 用 A p a c h e   S t r u t s 提 供 J a v a   W e b 应 用 程 序 ， 并 支 持 前 端 与 后 端 应 用 程 序 。 L G T M 安 全 研 究 员 M a n   Y u e   M o 表 示 ， 许 多 可 公 开 访 问 的 W e b 应 用 程 序 都 在 使 用 S t r u t s ， 例 如 航 班 订 票 系 统 和 网 上 银 行 系 统 ， 这 种 情 况 下 ， 黑 客 通 过 W e b 浏 览 器 就 能 加 以 利 用 。
S e m m l e 产 品 经 理 B a s   v a n   S c h a i k 表 示 ， 要 利 用 该 漏 洞 轻 而 易 举 。 如 果 了 解 要 发 送 的 请 求 ， 就 能 在 运 行 漏 洞 应 用 程 序 的 W e b 服 务 器 上 启 动 任 何 进 程 。 M o 指 出 ， S t r u t s 2   R E S T 插 件 使 用 带 有 X S t r e a m 程 序 的 X S t r e a m   H a n d l e r 进 行 未 经 任 何 代 码 过 滤 的 反 序 列 化 操 作 ， 这 可 能 在 反 序 列 化 X M L   p a y l o a d s 时 导 致 远 程 代 码 执 行 。 攻 击 者 可 利 用 该 漏 洞 在 受 影 响 的 S t r u c t s 服 务 器 上 运 行 任 何 命 令 ， 甚 至 在 防 火 墙 后 运 行 。 v a n   S c h a i k 表 示 ， 如 果 服 务 器 包 含 客 户 或 用 户 数 据 ， 要 收 集 数 据 并 转 移 至 别 处 将 是 轻 而 易 举 的 事 情 。 攻 击 者 还 能 将 该 服 务 器 作 为 进 入 网 络 其 它 领 域 的 切 入 点 ， 有 效 绕 过 公 司 防 火 墙 ， 并 获 得 其 它 屏 蔽 领 域 的 访 问 权 。 此 外 ， 攻 击 者 还 能 利 用 该 漏 洞 找 到 凭 证 ， 连 接 到 数 据 库 服 务 器 提 取 所 有 数 据 。 更 糟 糕 的 是 ， 攻 击 者 还 能 悄 悄 删 除 数 据 ， 遭 遇 攻 击 的 组 织 机 构 甚 至 会 毫 无 察 觉 ， 当 发 现 时 已 为 时 已 晚 。 财 富 财 富 5 0 0 强 中 有 强 中 有 6 5 % 的 企 业 受 影 响 的 企 业 受 影 响 安 全 研 究 人 员 开 发 了 一 个 简 单 有 效 的 漏 洞 利 用 ， 但 目 前 尚 未 发 布 ， 意 在 为 公 司 留 出 时 间 修 复 系 统 。 v a n   S c h a i k 称 目 前 未 发 现 漏 洞 被 利 用 的 情 况 ， 但 在 漏 洞 细 节 公 开 后 几 个 小 时 之 内 可 能 就 会 被 利 用 。 受 影 响 的 企 业 及 机 构 受 影 响 的 企 业 及 机 构 源 代 码 修 复 程 序 几 周 前 已 发 布 ， A p a c h e 周 二 也 发 布 了 补 丁 ， 但 许 多 未 修 复 系 统 的 公 司 仍 会 遭 受 攻 击 。 使 用 A p a c h e   S t r u t s 框 架 搭 建   W e b   应 用 的 机 构 及 企 业 包 括 — — 花 旗 集 团 、 美 国 国 家 税 务 局 、 加 州 机 动 车 辆 局 在 内 的 政 府 官 网 以 及 大 型 跨 国 公 司 英 国 维 珍 大 西 洋 航 空 公 司 、 英 国 电 信 企 业 沃 达 丰 等 。 这 些 还 只 是 “ 冰 山 一 角 ” ， 此 次 漏 洞 影 响 范 围 或 许 相 当 广 泛 ， 相 关 企 业 应 当 给 予 重 视 。 R e d m o n k 行 业 分 析 师 芬 坦 · 瑞 恩 表 示 ， S t r u t s 通 常 用 于 维 护 或 加 强 现 有 应 用 程 序 ， 根 据 企 业 使 用 S t r u t s 的 情 况 统 计 得 出 ， 财 富 5 0 0 强 中 有 6 5 % 的 企 业 潜 在 受 该 漏 洞 影 响 。 相 关 解 决 方 案 相 关 解 决 方 案 v a n   S c h a i k 指 出 ， 除 了 公 开 披 露 漏 洞 ， 升 级 S t r u t s 组 件 之 外 ， 目 前 别 无 他 法 。 解 决 方 案 ： 在 不 使 用 时 删 除 S t r u t s   R E S T 插 件 ， 或 仅 限 于 服 务 器 普 通 页 面 和 J S O N s ： 限 制 服 务 器 端 扩 展 类 型 ， 删 除 X M L 支 持 。 建 议 升 级 到 S t r u t s   2 . 5 . 1 3 ， 下 载 地 址 ： h t t p : / / t . c n / R p P K o u S 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 4 2 3 0 5 9 8 2 6 . s h t m l 相 关 阅 读 ： 多 个 主 流 安 卓 手 机 芯 片 厂 商 的 B o o t l o a d e r 存 在 漏 洞 大 疆 无 人 机 启 动 漏 洞 悬 赏 计 划 ， 最 高 奖 金 1 9 . 7 万 元 i O S 内 核 漏 洞 利 用 P o C — — z I V A
美 国 众 议 院 情 报 委 员 会 盯 上 了 网 络 漏 洞 手 机 验 证 账 号 过 程 存 漏 洞 致 社 交 账 号 和 虚 拟 钱 包 被 劫 持 电 源 管 理 系 统 存 在 安 全 漏 洞 ， 黑 客 可 远 程 攻 击 美 国 发 布 “ C E R T 漏 洞 协 同 披 露 指 南 ” ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理