当前位置:安全客 >> 资讯详情

【漏洞预警】Apache Struts2插件高危漏洞(S2-052)

2017-09-06 10:57:12 阅读:2727次 收藏 来源: 安全客 作者:安全客


http://p1.qhimg.com/t01a6f34a22f820e327.png

漏洞编号:CVE-2017-9805

漏洞作者:Man Yue Mo <mmo at semmle dot com>

影响版本:Struts 2.5 - Struts 2.5.12,Struts 2.1.2 - Struts 2.3.33

漏洞等级:严重

漏洞简述:当启用 Struts REST的XStream handler去反序列化处理XML请求,可能造成远程代码执行漏洞。

漏洞描述:

当启用 Struts REST的XStream handler去反序列化处理一个没有经过任何类型过滤的XStream的实例,可能导致在处理XML时造成远程代码执行漏洞。

漏洞POC:暂不公开

验证截图:

http://p6.qhimg.com/t0185fc99c7ec578a47.png

修复建议:

1.  升级Apache struts 2.5.13或2.3.34版本

2. 如果系统没有使用Struts REST插件,那么可以直接删除Struts REST插件,或者在配置文件中加入如下代码,限制服务端文件的扩展名

<constant name="struts.action.extension" value="xhtml,,json" />


升级注意事项:

如果选择将 Struts2 框架升级到  Struts 2.5.13 或者 Struts 2.3.34,有可能造成某些 REST actions 工作不正常,此时请开发人员参考新版本 Struts2 框架引入的新的接口来解决此问题:

org.apache.struts2.rest.handler.AllowedClasses
org.apache.struts2.rest.handler.AllowedClassNames
org.apache.struts2.rest.handler.XStreamPermissionProvider


参考:

https://cwiki.apache.org/confluence/display/WW/S2-052 



本文由 安全客 翻译,转载请注明“转自安全客”,并附上链接。
原文链接:https://cwiki.apache.org/confluence/display/WW/S2-052

参与讨论,请先 | 注册 | 匿名评论
发布
用户评论
hh 2017-09-07 08:48:06
回复 |  点赞

apache官方更新,影响范围扩大

天黑不刹人 2017-09-06 14:46:24
回复 |  点赞

csdn有人给了poc

身自在7 2017-09-06 08:49:36
回复 |  点赞

默认开启吗

Dir溢出大神 2017-09-06 07:59:44
回复 |  点赞

poc呢

77ca1k1k1 2017-09-06 00:01:32
回复 |  点赞

Struts 2.5 - Struts 2.5.12 【高危】启用 Struts REST的XStream handler去反序列化处理XML请求时,可造成远程代码执行。 修复建议:1:升级至2.5.13;2:内详

2017-09-05 23:53:38
回复 |  点赞

又有人不能休息了

查看更多