您当前的位置: 环渤海新闻网>新闻>国内>网络安全预警信息发布 正文

关于Apache Struts2存在S2-045远程代码执行漏洞的安全公告

http://www.huanbohainews.com.cn 2017-03-07 16:22 来源: 国家计算机网络应急中心

  3月7日,国家信息安全漏洞共享平台(CNVD)收录了杭州安恒信息技术有限公司发现的Apache struts2 S2-045远程代码执行漏洞(CNVD-2017-02474,对应CVE-2017-5638),远程攻击者利用该漏洞可直接取得网站服务器控制权。由该应用较为广泛,且攻击利用代码已经公开,已导致互联网上大规模攻击的出现。

  一、漏洞情况分析

  Struts2是第二代基于Model-View-Controller(MVC)模型的java企业级web应用框架,并成为当时国内外较为流行的容器软件中间件。jakarta是apache组织下的一套Java解决方案的开源软件的名称,包括很多子项目。Struts就是jakarta的紧密关联项目。

  根据CNVD技术组成员单位——杭州安恒信息技术有限公司提供的分析情况,基于Jakarta Multipart parser的文件上传模块在处理文件上传(multipart)的请求时候对异常信息做了捕获,并对异常信息做了OGNL表达式处理。但在在判断content-type不正确的时候会抛出异常并且带上Content-Type属性值,可通过精心构造附带OGNL表达的URL导致远程代码执行。

  CNVD对漏洞的综合评级均为“高危”。由于struts 2.3.5之前的版本存在S2-016漏洞,因此有较多升级后的Apache struts2的版本为2.3.5及以上版本,极有可能受到漏洞的影响。

  二、漏洞影响范围

  受漏洞影响的版本为:Struts2.3.5-Struts2.3.31, Struts2.5-Struts2.5.10。截至7日13时,互联网上已经公开了漏洞的攻击利用代码,同时已有安全研究者通过CNVD网站、补天平台提交了多个受漏洞影响的省部级党政机关、金融、能源、电信等行业单位以及知名企业门户网站案例。根据CNVD秘书处抽样测试结果,互联网上采用Apache Struts 2框架的网站(不区分Struts版本,样本集>500,覆盖政府、高校、企业)受影响比例为60.1%。

  三、漏洞处置建议

  Apache Struts官方已在发布的新的版本中修复了该漏洞。建议使用Jakarta Multipart parser模块的用户升级到Apache Struts版本2.3.32或2.5.10.1。除了升级struts版本外,为有效防护漏洞攻击,建议用户采取主动检测、网络侧防护的方法防范黑客攻击:

  (一)无害化检测方法(该检测方法由安恒公司提供):

  在向服务器发出的http请求报文中,修改Content-Type字段:

  Content-Type: %{#context['com.opensymphony.xwork2.dispatcher.HttpServletResponse'].addHeader('vul','vul')}.multipart/form-data,如返回response报文中存在vul:vul字段项则表明存在漏洞。

  (二)网络侧防护技术措施

  建议在网络防护设备上配置过滤包含如下#nike='multipart/form-data'以及#container=#context['com.opensymphony.xwork2.ActionContext.container'字段串(及相关字符转义形式)的URL请求。

  CNCERT/CNVD已着手组织国内安全企业协同开展相关检测和攻击监测相关工作,后续将再次汇总处置工作情况。

  附:参考链接:

  https://cwiki.apache.org/confluence/display/WW/S2-045

  http://www.cnvd.org.cn/flaw/show/CNVD-2017-02474

编辑 王志韬
.
相关新闻:
图片
更多>>>
 
娱乐>>
·敢说!白岩松:新闻发言人最大的错误是沉默
·赵本山现身政协分组讨论 认真做会议记录
·张柏芝带儿子做饼干 小Q穿厨师装卖萌超可爱
·杨洋谈德艺双馨入法规:演好戏先学做人
·刘銮雄被曝靠甘比家人捐肾救命 女方:不是事实
·欧阳娜娜女女吻照引热议 父亲:尊重孩子的决定
·大S想"炫耀"成绩惨遭女儿打脸 学狼嚎霸气不再
·修杰楷34岁生日 梧桐妹写下生日卡告白超感动
·赌王千金何超凤承认离婚 23年情断各自展开生活
·李晨健身大秀倒三角身材 网友:冰冰好福气
社会>>
·海口千名学生每天诵读国学经典 集体打跆拳道
·北师大回应性教育教材尺度大:了解是为更好的保护
·私立小学招生要求家长本科学历 教育局:不合规
·成都春秋战国大型船棺墓群出土青铜器540余件
·男子谎称认识某省高官 诈骗老战友25万元被刑拘
·网售外卖服可免费蹭饭?业内:取餐看系统不看衣服
·男子遭遇网络诈骗 不仅没亏还“骗”了骗子387元
·公交司机设计二维码付款代刷 3个月帮近百乘客
·女主播直播剪共享单车私锁 数万人力挺获万元打赏
·小学性教育课本被家长吐槽尺度太大 出版社回应
 
 
热点新闻
·南园公寓东侧道路停的8辆“僵尸大巴”忒该清理了
·唐山:迁安沙河驿镇防火队员巡防森林防火灾(图)
·唐山中心血站采血量减少 武警官兵踊跃献血
·环保部副部长黄润秋一行来唐山调研
·百场大戏唱新春活动落幕 10万余人次观众过足戏瘾
·联合国教科文组织来唐考察
·唐山:丰南5.76亿元办好十件惠民实事
·医生提醒:孕产检查很重要 二孩妈妈勿忽视
·写在唐山融入京津冀协同发展大局三周年之际(上)
·记者探访唐山客运站实名制售票现场(图)
 
 
唐山通:唐山生活资讯门户

饭店 酒家 | 休闲 娱乐

图书 音像 | 美容 健身

烟酒 花店 | 婚庆 礼仪 汽车 养护 |装饰 装修