總機：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號信源大廈3206-3211室 郵編：510660
安全公告編號:CNTA-2016-0020
4月底，Apache Struts2 S2-032遠程代碼執行漏洞（CNVD-2016-02506，CVE-2016-3081，以下簡稱S2-032漏洞 ）的利用代碼被披露并在短時間內迅速傳播。CNVD秘書處——國家互聯網應急中心（CNCERT）組織CNVD成員單位和合作伙伴對漏洞攻擊威脅進行監測并開展了應急處置工作，現將有關情況通報如下：
一、攻擊威脅監測情況
根據CNCERT在互聯網上的監測結果，近一周來（4月30日00:00至5月6日16:00），互聯網上針對該漏洞的攻擊和掃描嘗試保持在高位狀態。盡管后續評估認為本次S2-032漏洞較以往S2-016漏洞的檢出率要低得多，但針對特定目標的搜尋（如：利用搜索引擎查找.action頁面）以及后續的攻擊掃描仍然在黑客地下產業或網絡安全從業者中持續進行。從CNCERT近期監測到的后門事件數量看，近一周被境內被植入后門的網站數量出現激增，暫不排除與S2-032漏洞攻擊的關聯可能性。
圖 近一周S2-032攻擊和掃描次數監測統計（來源：CNCERT）
圖 近一個月境內網站被植入后門數量統計（來源：CNCERT）
根據CNVD技術組成員單位——上海交通大學網絡信息中心在教育網內的抽樣檢測結果，對706個采用Apache Struts 2作為容器軟件的網站進行測試，有29個網站存在S2-032漏洞，占比4.1%，而存在S2-016及更低版本遠程代碼執行漏洞（如：S2-005）的網站有196個，占比28%。為進一步評估S2-032漏洞在各行業領域單位網站的分布情況，CNVD委托WOOYUN平臺對相關數據進行檢測和整理，如下表所示，境內共有817個網站存在S2-032漏洞，其中按行業領域劃分，位于前三位(注：不計其他企業)的是政府部門（占比28.3%）、互聯網企業（25.3%）、教育機構（9.8%）。
| 行業領域 | 數量 | 百分比 |
|---|---|---|
| 政府部門 | 231 | 28.3% |
| 教育機構 | 80 | 9.8% |
| 金融行業 | 57 | 7.0% |
| 保險行業 | 15 | 1.8% |
| 證券行業 | 7 | 0.9% |
| 能源行業 | 4 | 0.5% |
| 交通行業 | 48 | 5.9% |
| 電信運營商 | 59 | 7.2% |
| 互聯網企業 | 206 | 25.2% |
| 其他企業 | 110 | 13.5% |
| 總計 | 817 | 100.0% |
二、應急處置情況
4月27日，CNVD組織成員單位開展漏洞應急相關工作，相關單位工作反饋情況如下表所示。至5月6日，各成員單位共計向CNVD反饋累計超過230個受漏洞影響的黨政機關和重要行業單位網站，其中奇虎360、安恒信息、深信服科技反饋數量位居前三。此外。根據深信服科技在用戶側的攻擊監測情況，針對S2-032漏洞的攻擊行為同時也伴隨著針對以往Apache Struts 2高危漏洞（如：S2-016）的同步攻擊嘗試。
| 成員單位 | 漏洞分析 | 檢測普查 | 攻擊監測 |
|---|---|---|---|
| 安恒信息 | √ | √ | - |
| 深信服科技 | √ | √ | √ |
| 綠盟科技 | √ | - | - |
| 奇虎360 | √ | √ | - |
| 恒安嘉新 | √ | √ | - |
| 安天科技 | √ | √ | - |
| 天融信 | √ | √ | - |
| 華三公司 | - | √ | - |
| 上海交通大學 | - | √ | - |
根據各方匯總結果，CNVD依托CNCERT國家中心和分中心渠道在近一周內共處置346起涉及黨政機關和重要行業單位網站的S2-032漏洞事件。根據Wooyun平臺近日核驗結果，各行業領域單位在接收到S2-032漏洞風險通報后的修復或防護百分比如下表所示，其中金融、保險、證券、能源行業單位修復或防護比例為100%：
| 行業領域 | 修復或防護百分比 |
|---|---|
| 政府部門 | 93.7% |
| 教育機構 | 96.6% |
| 金融行業 | 100.0% |
| 保險行業 | 100.0% |
| 證券行業 | 100.0% |
| 能源行業 | 100.0% |
| 交通行業 | 96.7% |
| 電信運營商 | 95.5% |
| 互聯網企業 | 94.3% |
| 其他企業 | 93.1% |
三、S2-032漏洞應急情況小結
針對本次S2-032漏洞的應急工作，有如下小結：
（一）S2-032漏洞由于影響軟件版本和網站配置條件的限制，實際影響遠不及以往造成大規模影響的Java反序列化漏洞以及S2-016、S2-005遠程代碼執行漏洞，但同樣吸引了大量的互聯網攻擊和掃描嘗試。
（二）漏洞細節的披露時間和方式考驗網絡安全從業者的行為準則。盡管從廠商官方發布漏洞公告至公布利用代碼有約一周時間，但相對于國內互聯網安全發展水平，漏洞修復和應急時間仍然較為急促，不適當的漏洞細節發布對大量互聯網站造成直接危害，客觀上制造了威脅熱點。
（三）國內網絡安全監管機構和應急組織要進一步加大漏洞風險的通報和處置力度，各行業領域也要不斷提高應急響應意識，同時要積極擴大應急服務行業覆蓋面，加強網絡邊界防護以及云防護技術的研究和應用。
附：參考鏈接：