Apache Struts 2 S2-032远程命令执行漏洞 自查与修复

技术 作者:程序猿 2016-04-27 07:57:25 阅读:719
Apache Struts 2 漏洞又来了...看看你所在的企业是否受到影响? 乌云导读 Apache Struts2 服务在开启动态方法调用的情况下可以远程执行任意命令,漏洞利用代码已经开始流传。 今日Apache Struts2官方发布安全公告,Apache Struts2 服务在开启动态方法调用的情况下可以远程执行任意命令,官方编号 S2-032,CVE编号 CVE-2016-3081,具体请见: S2-032 Security Bulletins 。 漏洞测试样例(无风险): http://d047ab33ccbe2dda8.jie.sangebaimao.com/struts2-showcase/filedownload/index.action?method:%23_memberAccess%3D@ognl.OgnlContext@ DEFAULT_MEMBER_ACCESS%2C%23test%3D%23context.get%28%23parameters. res%5B0%5D%29.getWriter%28%29%2C%23test.println%28%23parameters. command%5B0%5D%29%2C%23test.flush%28%29%2C%23test.close& res=com.opensymphony.xwork2.dispatcher.HttpServletResponse& command=%23%23%23Struts2 S2-032 Vulnerable%23%23%23 漏洞影响范围: Struts2 服务动态方法调用-DMI 开启的前提; Apache Struts 2.3.18 ~ 2.3.28 之间版本(除了 2.3.20.2 与 2.3.24.2 版本); PS:感谢 tang3(绿盟科技) 的技术分析指出官方给出的影响范围存在误差,以上为准。 解决方案: 1)禁用动态方法调用: 修改 Struts2 的配置文件,将“struts.enable.DynamicMethodInvocation” 设置为 false,如 ; 2)如条件允许前提下,可升级 Struts 版本至 Struts 2.3.20.2,Struts 2.3.24.2 或者 Struts 2.3.28.1 来修复漏洞,新版本下载地址:https://struts.apache.org/download.cgi#struts2328。 目前已有多个版本的漏洞利用 POC 在互联网流传,分为命令执行版本与直接写入Web后门的版本。同时乌云漏洞报告平台也开始陆续收到多家企业的安全漏洞报告,例如网易、多玩等互联网企业,预计今晚会迎来漏洞爆发的第一个小高峰。 195504_7jOJ_2652078 另外就乌云漏洞报告平台历史 Struts2 漏洞爆发情况来看,该漏洞还可能影响政府、银行、证券、保险等行业,需提前做好安全应急与防范措施! 历年 Struts2 漏洞爆发时,乌云平台的行业覆盖情况如下: 195529_6lV6_2652078 出处:乌云安全中心

关注公众号:拾黑(shiheibook)了解更多

[广告]赞助链接:

四季很好,只要有你,文娱排行榜:http://www.yaopaiming.com/
让资讯触达的更精准有趣:https://www.0xu.cn/

图库
关注网络尖刀微信公众号
随时掌握互联网精彩
赞助链接