Apache Struts2 S2-032漏洞爆发,银行等金融业网站将受严重影响

    在2016年3月份的时间Apache Struts2 发布的最新安全公告S2-029中显示,Struts2 存在远程代码执行漏洞。Struts 2.0.0 – Struts2.3.24.1 版本均受到该漏洞影响。这个漏洞危险级别被定义为高危,漏洞 CVE 编号:CVE-2016-0785。目前Apache提供了Apache Struts2 S2-029 远程代码执行漏洞的本地检测方案。文章源自奇点世界-https://www.xerer.com/archives/15666.html

    Apache Struts2背景介绍
    Struts2 是全球使用最广泛的 Javaweb 服务器框架之一。Struts2 是 Struts 的下一代产品,是在 struts1和 WebWork 的技术基础上进行了合并的全新的 Struts2 框架。文章源自奇点世界-https://www.xerer.com/archives/15666.html

    之前 S2-005,S2-009,S2-013,S2-016,S2-20 都存在远程命令执行漏洞,使得大量的网站系统遭受入侵。所以漏洞一经曝光就在安全圈内引起轩然大波。文章源自奇点世界-https://www.xerer.com/archives/15666.html

    而现在Apache Struts2 又出现漏洞了,今天晚上(4月26日)Apache官方发布安全公告(官方编号S2-032/CVE编号CVE-2016-3081),Apache Struts2服务在开启动态方法调用(DMI)的情况下,可以被远程执行任意命令,安全威胁程度高。文章源自奇点世界-https://www.xerer.com/archives/15666.html

    Apache Struts2 S2-032漏洞影响的软件版本为2.3.20-2.3.28,但是2.3.20.2、2.3.24.2两个版本除外,建议尽快升级到相应的最新版本,并关闭DMI。文章源自奇点世界-https://www.xerer.com/archives/15666.html

    这个S2-032漏洞这是自2012年Struts2命令执行漏洞大规模爆发之后,Apache Struts2服务时隔4年再次爆发大规模漏洞。文章源自奇点世界-https://www.xerer.com/archives/15666.html

    Apache Struts2 S2-032漏洞爆发,银行等金融业网站将受严重影响
    截止目前为止,乌云漏洞报告平台已收到100多家网站的相关漏洞报告,其中银行网站占了很大比例。文章源自奇点世界-https://www.xerer.com/archives/15666.html

    现在已有多个版本的漏洞利用POC在互联网流传,分为命令执行版本与直接写入Web后门的版本。文章源自奇点世界-https://www.xerer.com/archives/15666.html

    乌云平台现在已经被S2-032漏洞刷屏,据说乌云后台还有100多个漏洞待审核,因此预计4月26日晚上会迎来该漏洞爆发的第一个小高峰,尤其是银行业恐怕会遭到严重的影响。文章源自奇点世界-https://www.xerer.com/archives/15666.html

    结合Apache Struts2历史情况分析,S2-032漏洞除了会影响银行与互联网企业(网易/新浪等)以外,还可能影响政府、证券、保险等行业网站,相关服务一定要提前做好安全应急与防范措施!
    如果你在影响范围内,有两种解决方法:
    一、禁用Apache Struts2 动态方法调用
    修改Struts2的配置文件,将“struts.enable.DynamicMethodInvocation”的值设置为false,比如:
    <constant name="struts.enable.DynamicMethodInvocation" value="false" />;
    二、升级Apache Struts2 软件版本
    如果条件允许,可升级Struts版本至2.3.20.2、2.3.24.2或者2.3.28.1,这几个版本都不存在此漏洞。
    升级地址:https://struts.apache.org/download.cgi#struts23281
    另外附上漏洞测试样例(无风险):
    http://d047ab33ccbe2dda8.jie.sangebaimao.com/struts2-showcase/filedownload/index.action?method:%2523_memberAccess%[email protected]@DEFAULT_MEMBER_ACCESS%252C%2523test%253D%2523context.get%2528%2523parameters.res%255B0%255D%2529.getWriter%2528%2529%252C%2523test.println%2528%2523parameters.command%255B0%255D%2529%252C%2523test.flush%2528%2529%252C%2523test.close%26res%3Dcom.opensymphony.xwork2.dispatcher.HttpServletResponse%26command%3D%2523%2523%2523Struts2%20S2-032%20Vulnerable%2523%2523%2523文章源自奇点世界-https://www.xerer.com/archives/15666.html

    Apache官方难辞其咎文章源自奇点世界-https://www.xerer.com/archives/15666.html

    回顾struts2的漏洞历史,我们发现Apache官方难辞其咎。
    首先,开发人员安全意识不强,虽然采取了基本的安全措施,但是形同虚设;其次,官方修复力度不够,给人的感觉总像是在敷衍了事,未能从根本上解决问题;再就是,官方的开放精神确实很震撼,竟然直接将漏洞的PoC挂在官网上,这样给了很多人进一步研究漏洞利用的机会,这个也是导致问题更加严重的一个原因。
    近两年关于struts2的攻击事件频发,影响包括向移动、电信、联通、各大网银、证券等等各大门户网站,。因为struts2是一款功能非常强大的j2ee框架,特别是对于广大开发人员,应用非常广泛。所以一旦struts2出现0day,导致互联网上出现大面积被入侵、被拖库,信息泄露等事件。对于此问题,建议相关技术人员应及时更新struts2框架版本。有实力的公司最好自己开发应用框架,避免使用开源框架。
    struts2漏洞盘点
    影响比较大,利用比较广泛的struts2漏洞:
    2010年 S2-005
    CVE-2010-1870 XWork ParameterInterceptors bypass allows OGNL statement execution
    2012年1月 S2-008
    CVE-2012-0392 struts2 DevMod Remote Command Execution Vulnerability
    2012年1月 S2-009
    CVE-2011-3923 Struts<=2.3.1参数拦截器代码执行
    2013年 5月 S2-013
    CVE-2013-1966 Struts2 <= 2.3.14 includeParams属性远程命令执行漏洞
    2013年7月 S2-016
    CVE-2013-2251 Struts2 <= 2.3.15.1 action、redirect、redirectAction前缀远程命令执行漏洞
    2014年3月 S2-020
    Struts2 <= 2.3.16 DoS attacks and ClassLoader manipulation
    2014年4月 S2-021
    Struts2 <= 2.3.16.1 bypass patch(ClassLoader manipulation)
    具体参照struts2官网提供的漏洞历史:
    https://cwiki.Apache.org/confluence/display/WW/Security+Bulletins文章源自奇点世界-https://www.xerer.com/archives/15666.html

    漏洞概要
    缺陷编号: WooYun-2016-200877
    漏洞标题: 网易多站存在S2-023命令执行(子域存在通用性)
    相关厂商: 网易
    漏洞作者: 路人甲
    提交时间: 2016-04-26 17:38
    公开时间: 2016-06-10 17:38
    漏洞类型: 命令执行
    危害等级: 高
    漏洞状态: 等待厂商处理
    漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]文章源自奇点世界-https://www.xerer.com/archives/15666.html

    漏洞详情
    披露状态:
    2016-04-26: 细节已通知厂商并且等待厂商处理中
    简要描述:
    struts
    漏洞hash:dfc32ca119eea2d0122772057919776f
    版权声明:转载请注明来源 路人甲@乌云文章源自奇点世界-https://www.xerer.com/archives/15666.html

    • 本文由 发表于 2016/04/2623:12:08

    发表评论

    匿名网友