搜索

[1312] 2017-07-08_关于做好ApacheStruts2高危漏洞管理和应急工作的安全公告

文档创建者：s7ckTeam
浏览次数：35
最后更新：2025-01-16
2017-07-08_关于做好ApacheStruts2高危漏洞管理和应急工作的安全公告 关 于 做 好 A p a c h e   S t r u t s 2   高 危 漏 洞 管 理 和 应 急 工 作 的 安 全 公 告 C N V D 漏 洞 平 台   2 0 1 7 - 0 7 - 0 8 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 7 - 0 0 5 4 近 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 A p a c h e   S t r u t s 2   S 2 - 0 4 8 远 程 代 码 执 行 漏 洞 （ C N V D - 2 0 1 7 - 1 3 2 5 9 ， 对 应 C V E - 2 0 1 7 - 9 7 9 1 ） , 漏 洞 利 用 代 码 已 在 互 联 网 公 开 ， 8 日 凌 晨 起 互 联 网 上 已 经 大 量 的 攻 击 尝 试 并 已 有 若 干 漏 洞 案 例 报 告 。 针 对 近 年 来 A p a c h e   S t r u t s 2 频 繁 出 现 高 危 风 险 ， 在 相 关 案 例 中 国 内 漏 洞 管 理 和 应 急 工 作 出 现 一 些 较 为 被 动 的 情 况 ， C N V D 就 本 次 S 2 - 0 4 8 漏 洞 风 险 和 做 好 相 关 高 危 漏 洞 管 理 和 应 急 工 作 ， 提 出 相 关 建 议 ： 一 、 一 、 S 2 - 0 4 8 漏 洞 风 险 情 况 漏 洞 风 险 情 况 S t r u t s 2 是 第 二 代 基 于 M o d e l - V i e w - C o n t r o l l e r   ( M V C ) 模 型 的 j a v a 企 业 级 w e b 应 用 框 架 ， 是 较 为 流 行 的 容 器 软 件 中 间 件 。 2 0 1 7 年 7 月 7 日 ， A p a c h e   S t r u t s   发 布 最 新 的 安 全 公 告 ， S t r u t s 2   存 在 远 程 命 令 执 行 漏 洞 （ 命 名 编 号 为 S 2 - 0 4 8 ） 。 漏 洞 成 因 为 S h o w c a s e   应 用 演 示 S t r u t s 2   整 合 S t r u t s   1   的 插 件 中 存 在 一 处 任 意 代 码 执 行 缺 陷 ， 当 应 用 使 用 了 S t r u t s 2   S t r u t s 1   的 插 件 时 ， 用 户 可 以 构 造 特 定 输 入 （ 一 般 为 H e a d e r 字 段 的 O G N L 表 达 式 ） 发 送 到 A c t i o n M e s s a g e   类 中 可 导 致 命 令 执 行 ， 进 而 获 得 服 务 器 主 机 系 统 权 限 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 漏 洞 影 响 使 用 S t r u t s   1 插 件 的 S t r u t s   2 . 3 . x 版 本 ， 修 复 建 议 措 施 另 附 。 7 月 8 日 上 午 C N V D 接 收 到 安 全 研 究 者 报 告 的 涉 及 若 干 网 站 案 例 ， 有 将 S 2 - 0 4 5 案 例 误 报 为 S 2 - 0 4 8 漏 洞 的 情 况 。 根 据 根 据 C N V D 秘 书 处 抽 样 测 试 秘 书 处 抽 样 测 试 结 果 （ 结 果 （ > 1 0 0 0 个 网 站 案 例 个 网 站 案 例 , 以 在 以 在 S 2 - 0 4 5 漏 洞 中 受 到 影 响 的 案 例 为 主 ） ， 受 漏 洞 中 受 到 影 响 的 案 例 为 主 ） ， 受 S 2 - 0 4 8 漏 洞 影 响 的 漏 洞 影 响 的 A p a c h e   S t r u t s 2 网 站 比 例 约 为 网 站 比 例 约 为 0 . 6 % ， 暂 未 发 ， 暂 未 发 现 党 政 机 关 和 重 要 用 户 单 位 案 例 。 现 党 政 机 关 和 重 要 用 户 单 位 案 例 。 C N V D 认 为 ， 由 于 有 一 定 利 用 前 提 且 影 响 版 本 范 围 限 于 2 . 3 . x 版 本 ， 之 前 针 对 S 2 - 0 4 5 漏 洞 的 升 级 措 施 以 及 国 内 安 全 厂 商 8 日 凌 晨 实 施 的 用 户 侧 应 急 防 护 发 挥 了 积 极 作 用 ， S 2 - 0 4 8 漏 洞 范 围 影 响 较 漏 洞 范 围 影 响 较 S 2 - 0 4 5 漏 洞 要 小 得 多 。 漏 洞 要 小 得 多 。 二 、 二 、 A p a c h e   S t r u t s   2 漏 洞 应 急 案 例 经 验 教 训 漏 洞 应 急 案 例 经 验 教 训 回 顾 2 0 1 6 年 以 来 针 对 A p a c h e   S t r u t s 2 存 在 的 S 2 - 0 3 2 、 S 2 - 0 4 5 等 漏 洞 的 应 急 工 作 案 例 ， 主 要 存 在 漏 洞 详 情 披 露 不 当 、 漏 洞 信 息 报 告 和 应 急 准 备 不 充 分 等 问 题 。 2 0 1 6 年 4 月 下 旬 ， 在 官 方 发 布 S 2 - 0 3 2 漏 洞 不 到 一 周 时 间 内 ， 发 现 漏 洞 的 国 内 安 全 厂 商 就 公 开 了 漏 洞 详 细 分 析 情 况 ， 致 使 利 用 代 码 开 始 出 现 并 大 范 围 传 播 ， 导 致 大 规 模 攻 击 威 胁 ， 漏 洞 详 情 的 不 当 披 露 成 为 了 黑 客 发 起 攻 击 的 “ 帮 手 ” 。 2 0 1 7 年 3 月 “ 两 会 ” 期 间 ， 官 方 发 布 S 2 - 0 4 5 漏 洞 但 利 用 方 法 可 通 过 补 丁 逆 向 分 析 获 得 且 在 互 联 网 快 速 传 播 。 由 于 漏 洞 风 险 信 息 未 提 前 向 国 内 网 络 安 全 主 管 部 门 和 应 急 组 织 报 告 ， 致 使 党 政 机 关 、 重 要 行 业 单 位 网 站 在 未 获 得 有 效 应 急 时 间 窗 口 的 情 况 下 受 到 大 规 模 攻 击 威 胁 。 本 次 S 2 - 0 4 8 漏 洞 的 报 告 和 应 急 准 备 工 作 也 存 在 与 S 2 - 0 4 5 案 例 相 同 的 问 题 。 三 、 做 好 高 危 漏 洞 管 理 和 应 急 工 作 的 建 议 三 、 做 好 高 危 漏 洞 管 理 和 应 急 工 作 的 建 议 按 照 《 网 络 安 全 法 》 有 关 规 定 （ 如 第 二 十 六 条 ： 开 展 网 络 安 全 认 证 、 检 测 、 风 险 评 估 等 活 动 ， 向 社 会 发 布 系 统 漏 洞 、 计 算 机 病 毒 、 网 络 攻 击 、 网 络 侵 入 等 网 络 安 全 信 息 ， 应 当 遵 守 国 家 有 关 规 定 ） ， 参 照 主 管 部 门 制 定 的 《 国 家 网 络 安 全 事 件 应 急 预 案 》 、 《 公 共 互 联 网 网 络 安 全 应 急 预 案 》 和 国 家 技 术 标 准 （ 如 ： 《 G B / T   3 0 2 7 6 - 2 0 1 3   信 息 安 全 技 术   信 息 安 全 漏 洞 管 理 规 范 》 ） 以 及 正 在 制 定 的 《 个 人 信 息 和 重 要 数 据 出 境 安 全 评 估 办 法 》 等 规 定 ， 针 对 A p a c h e   S t r u t s   2 等 软 硬 件 产 品 高 危 漏 洞 管 理 和 应 急 存 在 的 问 题 ， C N V D 提 出 如 下 两 方 面 建 议 ： 一 是 加 强 学 习 ， 提 高 认 识 。 一 是 加 强 学 习 ， 提 高 认 识 。 国 内 网 络 安 全 从 业 者 应 树 立 守 法 意 识 ， 加 强 对 法 律 法 规 和 部 门 规 定 的 学 习 。 目 前 网 络 安 全 监 管 还 正 处 于 不 断 完 善 的 阶 段 ， 从 业 者 应 充 分 领 会 主 管 部 门 提 出 的 管 理 思 路 和 要 求 ， 围 绕 保 障 国 家 关 键 信 息 基 础 设 施 、 保 障 行 业 和 个 人 信 息 安 全 、 共 同 提 升 国 内 网 络 安 全 防 护 水 平 等 工 作 大 局 ， 自 觉 遵 守 和 执 行 有 关 规 定 和 要 求 。 二 是 完 善 流 程 ， 协 同 自 律 。 二 是 完 善 流 程 ， 协 同 自 律 。 加 强 对 有 可 能 对 国 内 用 户 造 成 大 规 模 威 胁 的 漏 洞 的 前 置 管 理 ， 在 “ 漏 洞 修 复 ” 、 “ 威 胁 消 除 ” 等 环 节 给 国 内 党 政 机 关 、 重 要 行 业 单 位 以 及 广 大 用 户 预 留 必 要 的 准 备 时 间 。 重 点 从 漏 洞 发 现 和 报 告 环 节 入 手 ， 密 切 配 合 国 家 网 络 安 全 主 管 部 门 和 应 急 组 织 提 出 的 工 作 要 求 ， 完 善 报 告 策 略 和 处 理 流 程 。 加 强 行 业 自 律 ， 不 得 从 企 业 和 个 人 利 益 出 发 ， 做 出 有 损 于 或 不 利 于 共 同 安 全 利 益 的 漏 洞 报 告 和 披 露 行 为 。 参 考 链 接 ： h t t p : / / w w w . n p c . g o v . c n / n p c / x i n w e n / 2 0 1 6 - 1 1 / 0 7 / c o n t e n t _ 2 0 0 1 6 0 5 . h t m h t t p : / / w w w . c a c . g o v . c n / 2 0 1 7 - 0 6 / 2 7 / c _ 1 1 2 1 2 2 0 1 1 3 . h t m h t t p : / / w w w . c a c . g o v . c n / 2 0 1 7 - 0 4 / 1 1 / c _ 1 1 2 0 7 8 5 6 9 1 . h t m h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / S 2 - 0 4 8 h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / S 2 - 0 4 5 h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / S 2 - 0 3 2 h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - - 2 0 1 7 - 1 3 2 5 9 （ 注 ： C N V D 合 作 方 漏 洞 盒 子 （ 属 上 海 斗 象 信 息 科 技 有 限 公 司 ） 及 时 报 告 了 S 2 - 0 4 8 漏 洞 详 情 ， 同 时 C N V D 技 术 组 成 员 单 位 奇 虎 3 6 0 公 司 、 杭 州 安 恒 公 司 、 绿 盟 科 技 公 司 、 恒 安 嘉 新 公 司 、 天 融 信 公 司 也 报 告 相 关 分 析 情 况 ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理