信息來(lái)源：FreeBuf

千瘡百孔的Struts2應(yīng)用又曝出存在新的高危遠(yuǎn)程代碼執(zhí)行漏洞。該漏洞由lgtm.com的安全研究員匯報(bào)，編號(hào)為CVE-2017-9805，漏洞危害程度為高危（Critical）。當(dāng)用戶使用帶有XStream程序的Struts REST插件來(lái)處理XML payloads時(shí)，可能會(huì)遭到遠(yuǎn)程代碼執(zhí)行攻擊。

漏洞編號(hào)

CVE-2017-9805

S2-052

漏洞影響

Struts 2.5 – Struts 2.5.12 版本

漏洞概述

Struts2 REST插件使用帶有XStream程序的XStream Handler進(jìn)行未經(jīng)任何代碼過(guò)濾的反序列化操作，這可能在反序列化XML payloads時(shí)導(dǎo)致遠(yuǎn)程代碼執(zhí)行。任意攻擊者都可以構(gòu)造惡意的XML內(nèi)容提升權(quán)限。

向下兼容

由于Struts的某些默認(rèn)限制，部分REST插件可能會(huì)停止工作。 此時(shí)請(qǐng)檢查可能導(dǎo)致停止工作接口，這些接口分別是：

org.apache.struts2.rest.handler.AllowedClasses

org.apache.struts2.rest.handler.AllowedClassNames

org.apache.struts2.rest.handler.XStreamPermissionProvider

漏洞POC

暫無(wú)

解決方案

目前尚無(wú)完美解決方案，建議如下：

1.建議盡快升級(jí)到2.5.13版本。

2.在不使用時(shí)刪除Struts REST插件，或僅限于服務(wù)器普通頁(yè)面和JSONs：

<constant name=”struts.action.extension” value=”xhtml,,json” />