搜索

[3605] 2017-03-07_四海八荒就服你！安恒研究院今年又发现Struts2高危安全漏洞！

文档创建者：s7ckTeam
浏览次数：67
最后更新：2025-01-16
2017-03-07_四海八荒就服你！安恒研究院今年又发现Struts2高危安全漏洞！ 四 海 八 荒 就 服 你 ！ 安 恒 研 究 院 今 年 又 发 现 S t r u t s 2 高 危 安 全 漏 洞 ！ 原 创   E 安 全   E 安 全   2 0 1 7 - 0 3 - 0 7 近 日 ， 安 恒 信 息 安 全 研 究 院 W E B I N 实 验 室 高 级 安 全 研 究 员 n i k e . z h e n g 发 现 著 名 J 2 E E 框 架 — — S t r u t s 2 存 在 远 程 代 码 执 行 的 严 重 漏 洞 。 目 前 S t r u t s 2 官 方 已 经 确 认 高 风 险 漏 洞 （ 漏 洞 编 号 S 2 - 0 4 5 ， C N N V D 编 号 ： C N N V D - 2 0 1 7 0 3 - 1 5 2 ， C V E 编 号 ： c v e - 2 0 1 7 - 5 6 3 8 ） 。 A p a c h e   S t r u t s   2 是 世 界 上 最 流 行 的 J a v a   W e b 服 务 器 框 架 之 一 ， 国 内 外 均 有 大 量 厂 商 使 用 该 框 架 。 自 2 0 1 3 年 A p a c h e   S t r u t s   2 的 远 程 代 码 执 行 漏 洞 风 暴 后 ， 安 恒 就 在 持 续 关 注 S t r u t s 2 漏 洞 。 安 恒 信 息 的 安 全 专 家 早 在 2 0 1 4 年 就 提 醒 使 用 S t r u t s 框 架 的 网 站 管 理 员 ， 时 刻 关 注 S t r u t s 官 方 修 复 方 案 ， 并 对 S t r u t s 官 方 修 复 内 容 进 行 审 核 。 本 次 发 现 S t r u t s 2 存 在 远 程 代 码 执 行 的 严 重 漏 洞 的 安 恒 研 究 员 ， 其 去 年 就 曾 发 现 S t r u t s 2 一 个 严 重 的 远 程 代 码 执 行 漏 洞 （ 漏 洞 编 号 S 2 - 0 2 9 ， C N N V D 编 号 ： C N N V D - 2 0 1 6 0 3 - 2 3 4 ， C V E - 2 0 1 6 - 0 7 8 5 ） ， 并 于 当 年 3 月 1 8 日 报 告 给 S t r u t s 2 官 方 获 其 确 认 和 感 谢 。 当 然 ， 膜 拜 上 神 n i k e . z h e n g 哥 之 前 ， 赶 紧 上 车 ， 应 急 处 理 漏 洞 先 ！ ！ ！ 值 此 两 会 期 间 ， 抓 紧 抓 紧 ！ ！ ！
本 次 （ 漏 洞 编 号 S 2 - 0 4 5 ， C N N V D 编 号 ： C N N V D - 2 0 1 7 0 3 - 1 5 2 ， C V E 编 号 ： c v e - 2 0 1 7 - 5 6 3 8 ） 漏 洞 影 响 范 围 极 广 ， 影 响 国 内 外 绝 大 多 数 使 用 S t r u t s 2 开 发 框 架 的 站 点 。 目 前 针 对 此 漏 洞 的 目 前 针 对 此 漏 洞 的 P O C 与 与 E X P 已 经 开 始 在 互 联 网 上 流 传 ！ ！ ！ 已 经 开 始 在 互 联 网 上 流 传 ！ ！ ！ 受 影 响 的 软 件 版 本 ： 受 影 响 的 软 件 版 本 ： S t r u t s   2 . 3 . 5   -   S t r u t s   2 . 3 . 3 1 S t r u t s   2 . 5   -   S t r u t s   2 . 5 . 1 0 漏 洞 危 害 ： 漏 洞 危 害 ： 攻 击 者 可 通 过 发 送 恶 意 构 造 的 H T T P 数 据 包 利 用 该 漏 洞 ， 在 受 影 响 服 务 器 上 执 行 系 统 命 令 ， 进 一 步 可 完 全 控 制 该 服 务 器 ， 造 成 拒 绝 服 务 、 数 据 泄 露 、 网 站 造 篡 改 等 影 响 。 由 于 该 漏 洞 利 用 无 需 任 何 前 置 条 件 （ 如 开 启 d m i ， d e b u g 等 功 能 ） 以 及 启 用 任 何 插 件 ， 因 此 漏 洞 危 害 较 为 严 重 。 自 查 方 式 自 查 方 式 ： 用 户 可 查 看 w e b 目 录 下 / W E B - I N F / l i b / 目 录 下 的 s t r u t s - c o r e . x . x . j a r 文 件 ， 如 果 这 个 版 本 在 S t r u t s 2 . 3 . 5   到   S t r u t s 2 . 3 . 3 1   以 及   S t r u t s 2 . 5   到 S t r u t s 2 . 5 . 1 0 之 间 则 存 在 漏 洞 。 升 级 补 丁 地 址 升 级 补 丁 地 址 ： S t r u t s   2 . 3 . 3 2 ：
h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / V e r s i o n + N o t e s + 2 . 3 . 3 2 S t r u t s   2 . 5 . 1 0 . 1 ： h t t p s : / / c w i k i . a p a c h e . o r g / c o n f l u e n c e / d i s p l a y / W W / V e r s i o n + N o t e s + 2 . 5 . 1 0 . 1     临 时 缓 解 措 施 ： 临 时 缓 解 措 施 ： 如 用 户 不 方 便 升 级 ， 可 采 取 如 下 临 时 解 决 方 案 ： 删 除 c o m m o n s - f i l e u p l o a d - x . x . x . j a r 文 件 （ 会 造 成 上 传 功 能 不 可 用 ）   由 于 S t r u t s 2 补 丁 修 复 或 版 本 升 级 需 要 专 业 的 软 件 开 发 团 队 协 助 ， 因 此 无 法 在 短 时 间 内 快 速 处 理 。 为 保 障 两 会 时 期 网 站 平 稳 运 行 ， 针 对 此 次 漏 洞 ， 安 恒 安 全 专 家 建 议 尽 快 更 新 S t r u t s 2 版 本 或 采 用 第 三 方 防 护 措 施 如 具 备 防 护 能 力 的 W E B 防 火 墙 或 云 防 护 产 品 进 行 防 范 。 并 决 定 为 所 有 受 此 漏 洞 影 响 网 站 开 通 玄 武 盾 快 速 接 入 绿 色 通 道 。 玄 武 盾 产 品 组 决 定 凡 是 受 该 漏 洞 危 害 的 站 点 均 可 免 费 接 入 半 个 月 防 护 时 间 。 可 有 效 避 免 用 户 在 线 系 统 被 入 侵 或 业 务 中 断 ， 协 助 用 户 在 S t r u t s 2 补 丁 修 复 期 间 提 供 云 端 防 护 服 务 。 有 需 要 的 用 户 可 联 系 玄 武 盾 负 责 人 进 行 免 费 接 入 。 接 入 范 围 ： 所 有 受 该 漏 洞 影 响 的 站 点 免 费 接 入 时 间 ： 即 刻 至 3 月 底 免 费 接 入 客 户 热 线 ： 4 0 0 - 6 0 5 - 9 1 1 0 应 急 联 系 人 ： 贾 腾 飞 1 8 8 6 8 9 4 9 3 6 3 t e n g f e i . j i a @ d b a p p s e c u r i t y . c o m . c n
毛 润 华 1 3 0 6 7 9 3 2 3 9 2 w e f o . m a o @ d b a p p s e c u r i t y . c o m . c n   阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理