公安局简介 | 党政领导 | 机构设置 | 联系电话
  当前位置: 首页 > 安全防范
 大连公安微博
 大连朱警官微博
“五项承诺”举报电话:88058175
微信号:DLgongan
关于Apache Struts2 REST插件存在S2-052远程代码执行漏洞的安全公告

  北京时间9月5日晚,国家信息安全漏洞共享平台(CNVD)收录了Apache struts2 S2-052远程代码执行漏洞(CNVD-2017-25267 ,对应CVE-2017-9805),攻击者可以通过构造恶意XML请求在目标服务器上远程执行任意代码,获得服务器权限。目前相关利用代码已在互联网公开并传播,有可能导致互联网上大规模的攻击尝试。

  一、漏洞情况分析

  Struts2是第二代基于Model-View-Controller(MVC)模型的java企业级web应用框架,并成为国内外较为流行的容器软件中间件。Xstream是一种OXMapping技术,是用来处理XML文件序列化的框架,在将JavaBean序列化或将XML文件反序列化的时候,不需要其它辅助类和映射文件。Xstream也可以将JavaBean序列化成JSON或反序列化,使用非常方便。

  Struts2的REST插件使用带有XStream例程的XStreamHandler执行反序列化操作,但在反序列化过程中未做任何类型过滤,导致攻击者可能在反序列化XML负载时构造恶意的XML内容执行任意代码。

  CNVD对漏洞的综合评级均为“高危”。

  二、漏洞影响范围

  根据官方公告情况,漏洞影响Apache Struts 2.5至Struts 2.5.12版本。参考长亭公司的核验结果,Apache Struts 2.3.33版本也受到漏洞影响且官方网站未发布对应版本的更新。综合评估认为,虽然攻击原理通用,但由于目前攻击利用过程存在远程指令执行回显的技术限制以及需要有REST插件应用的前提条件,本次S2-052漏洞威胁达不到S2-045/046漏洞的威胁级别。

  三、漏洞处置建议

  根据官方发布的安全更新,建议升级到Apache Struts版本2.5.13,下载地址:https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.13

  此外,可以采用如下临时解决方案:

  1、如果非网站功能必需,建议删除Struts REST插件,或仅用于服务器普通页面和JSONs:

  <constant name="struts.action.extension" value="xhtml,,json" />

  2、限制服务端扩展类型,删除XML支持。

  注:兼容问题

  由于可用类的默认限制,某些REST操作可能会影响到正常的网站功能。在这种情况下,请调查介绍的新接口以允许每个操作定义类限制,这些接口是:

  org.apache.struts2.rest.handler.AllowedClasses

  org.apache.struts2.rest.handler.AllowedClassNames

  org.apache.struts2.rest.handler.XStreamPermissionProvider

  附:参考链接:

  https://cwiki.apache.org/confluence/display/WW/S2-052

  http://www.cnvd.org.cn/flaw/show/CNVD-2017-25267

  本公告在编写过程中重点参考了CNVD技术组成员单位启明星辰公司、杭州安恒公司、绿盟科技公司、知道创宇公司、奇虎360公司的公开分析结果。

 

来源:www.cert.org.cn  编辑:办公室  发布时间: 2017-9-8 10:54:00    
 
警方提示:“三字诀”帮你从容面对家庭火灾!
警方提示:居民住宅老旧小区“冬季防火十条”要牢记
恪守“爱、勤、守”的接警员夫妻
公安部指挥破获特大制贩假冒名家书画作品案
大连:4岁娃脚卡进儿童车 消防员耐心破拆帮其脱困
大连:车窗有雾不会除 交警手把手教新手司机除隐患
大连:乘警帮忙找到包裹 苏丹旅客如期洽谈
大连:驾驶人注意 微信可查车辆违法和驾驶证记分情....
大连交警开展“纠四风、正警风、转作风”整顿活动
大连:年终岁尾 警方打响“百队千警商圈反扒保卫战....

 

 
车辆号牌行驶证可通过邮政快递代办补领  播放插件下载
   
机动车违法 驾驶人记分
机动车、驾驶证 出入境办证进度
   
政府信息公开目录
政府信息公开指南
政府信息公开年报
依申请公开
政策法规

辽公网安备 21020302000026号

    主办单位、维护单位:大连市公安局