• 公司动态
  • 行业资讯
  • 新宝gg官网下载观点
  • 威胁情报
  • 新宝gg官网下载研究
  • Apache Struts 2 S2-032漏洞威胁

    时间:2016-05-19 来源:海丰科技

    1.Struts简介

    Struts是Apache基金会Jakarta项目组的一个开源项目,Struts通过采用Java Servlet/JSP技术,实现了基于Java EE Web应用的Model-View-Controller(MVC)设计模式的应用框架,是MVC经典设计模式中的一个经典产品。目前,Struts框架广泛应用于政府、公安、交通、金融行业和运营商的网站建设,作为网站开发的底层模板使用,是应用最广泛的Web应用框架之一。

    Struts 2是Struts的下一代产品,是在 struts 1和WebWork的技术基础上进行了合并的全新的Struts 2框架。其全新的Struts 2的体系结构与Struts 1的体系结构差别巨大,其在Action的实现方面线程模型方面、Servlet依赖方面、封装请求参数、表达式语言方面、绑定值到视图技术、类型转换、Action执行控制的对比、拦截器的应用等方面较Struts1进行了较大改进。Struts 2以WebWork为核心,采用拦截器的机制来处理用户的请求,这样的设计也使得业务逻辑控制器能够与 ServletAPI完全脱离开,所以Struts 2可以理解为WebWork的更新产品。虽然从Struts 1到Struts 2有着太大的变化,但是相对于WebWork,Struts 2的变化很小。

    2.s2-032漏洞简介

    Apache官方发布新宝gg官网下载公告(官方编号S2-032/CVE编号CVE-2016-3081),Apache Struts2服务在开启动态方法调用(DMI)的情况下,可以被远程执行任意命令,新宝gg官网下载威胁程度高。(http://seclab.dbappsecurity.com.cn/?p=924),也即Struts 2的s2-032漏洞。

    (1)调用方法

    Struts2是第二代基于Model-View-Controller (MVC)模型的java企业级web应用框架,并成为当时国内外较为流行的容器软件中间件。Struts 2的核心jar包-struts2-core中,存在一个default.properties的默认配置文件用于配置全局信息,当struts.enable.DynamicMethodInvocation = true,即开启动态方法调用。尽管在Struts2目前的新宝gg官网下载策略中,对部分动态调用方法进行了特殊字符传递的限制,但在该漏洞中攻击者仍能通过通过OGNL表达式静态调用获取ognl.OgnlContext的DEFAULT_MEMBER_ACCESS属性并覆盖_memberAccess的方式进行绕过,进而可在受控制的服务器端执行任意代码。

    (2)漏洞影响范围

    漏洞影响Struts2.0.0-2.3.28 (除2.3.20.2和2.3.24.2以外)版本

    (3)漏洞修复建议

    Apache Struts官方已发布了升级程序修复该漏洞,建议用户升级至struts 2.3.20.2,2.3.24.2,2.3.28.1版本。更新地址:https://cwiki.apache.org/confluence/display/WW/Migration+Guide。未能及时升级的用户也可通过如下参数设置关闭动态方法调用功能来规避该漏洞的攻击威胁。


    地址:甘肃省兰州市城关区南滨河东路66号

    电话:0931-8278968

    传真:0931-8814250-8027

    邮编:730000

    官网:http://www.gshfns.com/