搜索

[1336] 2017-09-06_关于ApacheStruts2REST插件存在S2-052远程代码执行漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2017-09-06_关于ApacheStruts2REST插件存在S2-052远程代码执行漏洞的安全公告 关 于 A p a c h e   S t r u t s 2   R E S T 插 件 存 在 S 2 - 0 5 2 远 程 代 码 执 行 漏 洞 的 安 全 公 告 C N V D 漏 洞 平 台   2 0 1 7 - 0 9 - 0 6 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 7 - 0 0 6 3 北 京 时 间 9 月 5 日 晚 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 A p a c h e   s t r u t s 2   S 2 - 0 5 2 远 程 代 码 执 行 漏 洞 （ C N V D - 2 0 1 7 - 2 5 2 6 7 ， 对 应 C V E - 2 0 1 7 - 9 8 0 5 ） ， 攻 击 者 可 以 通 过 构 造 恶 意 X M L 请 求 在 目 标 服 务 器 上 远 程 执 行 任 意 代 码 ， 获 得 服 务 器 权 限 。 目 前 相 关 利 用 代 码 已 在 互 联 网 公 开 并 传 播 ， 有 可 能 导 致 互 联 网 上 大 规 模 的 攻 击 尝 试 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 S t r u t s 2 是 第 二 代 基 于 M o d e l - V i e w - C o n t r o l l e r ( M V C ) 模 型 的 j a v a 企 业 级 w e b 应 用 框 架 ， 并 成 为 国 内 外 较 为 流 行 的 容 器 软 件 中 间 件 。 X s t r e a m 是 一 种 O X M a p p i n g 技 术 ， 是 用 来 处 理 X M L 文 件 序 列 化 的 框 架 , 在 将 J a v a B e a n 序 列 化 或 将 X M L 文 件 反 序 列 化 的 时 候 ， 不 需 要 其 它 辅 助 类 和 映 射 文 件 。 X s t r e a m 也 可 以 将 J a v a B e a n 序 列 化 成 J S O N 或 反 序 列 化 ， 使 用 非 常 方 便 。 S t r u t s 2 的 R E S T 插 件 使 用 带 有 X S t r e a m 例 程 的 X S t r e a m H a n d l e r 执 行 反 序 列 化 操 作 ， 但 在 反 序 列 化 过 程 中 未 做 任 何 类 型 过 滤 ， 导 致 攻 击 者 可 能 在 反 序 列 化 X M L 负 载 时 构 造 恶 意 的 X M L 内 容 执 行 任 意 代 码 。 C N V D 对 漏 洞 的 综 合 评 级 均 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 根 据 官 方 公 告 情 况 ， 漏 洞 影 响 A p a c h e   S t r u t s 2 . 5 至 S t r u t s   2 . 5 . 1 2 版 本 。 参 考 长 亭 公 司 的 核 验 结 果 ， A p a c h e   S t r u t s   2 . 3 . 3 3 版 本 也 受 到 漏 洞 影 响 且 官 方 网 站 未 发 布 对 应 版 本 的 更 新 。 综 合 评 估 认 为 ， 虽 然 攻 击 原 理 通 用 ， 但 由 于 目 前 攻 击 利 用 过 程 存 在 远 程 指 令 执 行 回 显 的 技 术 限 制 以 及 需 要 有 R E S T 插 件 应 用 的 前 提 条 件 ， 本 次 S 2 - 0 5 2 漏 洞 威 胁 达 不 到 S 2 - 0 4 5 / 0 4 6 漏 洞 的 威 胁 级 别 。 三 、 漏 洞 处 置 建 议 三 、 漏 洞 处 置 建 议 根 据 官 方 发 布 的 安 全 更 新 ， 建 议 升 级 到 A p a c h e S t r u t s 版 本 2 . 5 . 1 3 ， 下 载 地 址 ： h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / V e r s i o n + N o t e s + 2 . 5 . 1 3 。 此 外 ， 可 以 采 用 如 下 临 时 解 决 方 案 ： 1 、 如 果 非 网 站 功 能 必 需 ， 建 议 删 除 S t r u t s R E S T 插 件 ， 或 仅 用 于 服 务 器 普 通 页 面 和 J S O N s ： < c o n s t a n t n a m e = " s t r u t s . a c t i o n . e x t e n s i o n "   v a l u e = " x h t m l , , j s o n "   / > 2 、 限 制 服 务 端 扩 展 类 型 ， 删 除 X M L 支 持 。 注 ： 兼 容 问 题 注 ： 兼 容 问 题 由 于 可 用 类 的 默 认 限 制 ， 某 些 R E S T 操 作 可 能 会 影 响 到 正 常 的 网 站 功 能 。 在 这 种 情 况 下 ， 请 调 查 介 绍 的 新 接 口 以 允 许 每 个 操 作 定 义 类 限 制 ， 这 些 接 口 是 ： o r g . a p a c h e . s t r u t s 2 . r e s t . h a n d l e r . A l l o w e d C l a s s e s o r g . a p a c h e . s t r u t s 2 . r e s t . h a n d l e r . A l l o w e d C l a s s N a m e s o r g . a p a c h e . s t r u t s 2 . r e s t . h a n d l e r . X S t r e a m P e r m i s s i o n P r o v i d e r 附 ： 参 考 链 接 ： 附 ： 参 考 链 接 ： h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / S 2 - 0 5 2 h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 7 - 2 5 2 6 7     本 公 告 在 编 写 过 程 中 重 点 参 考 了 C N V D 技 术 组 成 员 单 位 启 明 星 辰 公 司 、 杭 州 安 恒 公 司 、 绿 盟 科 技 公 司 、 知 道 创 宇 公 司 、 奇 虎 3 6 0 公 司 的 公 开 分 析 结 果 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理