国产精品导航一区二区丨动漫成人无码精品一区二区三区丨久久国内精品自在自线波多野结氏丨久久久久久久久久久网站丨亚洲日韩乱码中文无码蜜桃臀网站丨午夜成人无码福利免费视频丨最新中文乱码字字幕在线丨夜夜骑夜夜操丨久久久久久久久久久av丨女人久久丨日本乱偷互换人妻中文字幕丨日本猛少妇色xxxxx猛交图片丨亚洲欧洲精品成人丨国产人成高清在线视频99最全资源丨91文字幕巨乱亚洲香蕉丨日本欧美视频在线观看丨三级黄毛片丨114一级片丨成人免费午夜福利片在线观看丨国产主播福利在线丨黄色的一级片丨久久99国产精品女同丨三区四区丨久久精品视频一区二区三区丨日韩一区二区三区在线视频

安全公告編號:CNTA-2016-0017

4月26日，互聯(lián)網(wǎng)上披露了Apache Struts 2 S2-032遠(yuǎn)程代碼執(zhí)行漏洞（CNVD-2016-02506，CVE-2016-3081 ）的利用代碼，根據(jù)CNVD初步測試，遠(yuǎn)程攻擊者利用漏洞可在開啟動態(tài)方法調(diào)用功能的Apache Struts 2服務(wù)器上執(zhí)行任意代碼，取得網(wǎng)站服務(wù)器控制權(quán)。

一、漏洞情況分析

Struts2是第二代基于Model-View-Controller(MVC)模型的java企業(yè)級web應(yīng)用框架，并成為當(dāng)時國內(nèi)外較為流行的容器軟件中間件。Struts 2的核心jar包-struts2-core中，存在一個default.properties的默認(rèn)配置文件用于配置全局信息，當(dāng)struts.enable.DynamicMethodInvocation= true，即開啟動態(tài)方法調(diào)用。盡管在Struts2目前的安全策略中，對部分動態(tài)調(diào)用方法進(jìn)行了特殊字符傳遞的限制，但在該漏洞中攻擊者仍能通過通過OGNL表達(dá)式靜態(tài)調(diào)用獲取ognl.OgnlContext的DEFAULT_MEMBER_ACCESS屬性并覆蓋_memberAccess的方式進(jìn)行繞過，進(jìn)而可在受控制的服務(wù)器端執(zhí)行任意代碼。CNVD對該漏洞的綜合評級為“高危”。

二、漏洞影響范圍

漏洞影響Struts 2.3.20 -2.3.28 (除2.3.20.3和2.3.24.3以外)版本，同時攻擊利用代碼已經(jīng)在互聯(lián)網(wǎng)上快速傳播。目前，對于默認(rèn)開啟動態(tài)方法調(diào)用功能的ApacheStruts2 服務(wù)器比例還需要進(jìn)一步評估。根據(jù)國內(nèi)民間漏洞報(bào)告平臺的信息報(bào)送情況，目前已經(jīng)出現(xiàn)涉及銀行、保險(xiǎn)行業(yè)單位以及大型互聯(lián)網(wǎng)增值電信企業(yè)的信息系統(tǒng)受漏洞影響的案例報(bào)告。

三、漏洞修復(fù)建議

Apache Struts官方已發(fā)布了升級程序修復(fù)該漏洞，CNVD建議用戶升級至struts 2.3.20.3，2.3.24.3，2.3.28.1版本。更新地址：https://cwiki.apache.org/confluence/display/WW/Migration+Guide。未能及時升級的用戶也可通過如下參數(shù)設(shè)置關(guān)閉動態(tài)方法調(diào)用功能來規(guī)避該漏洞的攻擊威脅：<constantname=“struts.enable.DynamicMethodInvocation”value=“false”/> (注：由于動態(tài)方法調(diào)用涉及部分通配符功能，此操作暫不能完全確保用戶網(wǎng)站系統(tǒng)其他功能不受影響)。

附：參考鏈接：

http://struts.apache.org/docs/s2-032.html

http://seclab.dbappsecurity.com.cn/?p=924

http://www.cnvd.org.cn/flaw/show/CNVD-2016-02506