永久黄网站免费视频性色,亚洲欧美黑人深喉猛交群,久一久久

安全公告編號:CNTA-2016-0023

近日，國家信息安全漏洞共享平臺（CNVD）收錄了Apache Struts2 S2-033遠程代碼執行漏洞（CNVD-2016-03754，對應CVE-2016-3087）。遠程攻擊者利用漏洞在啟動動態方法且安裝部署了REST插件的Struts 2服務器上遠程執行指令。根據評估，該漏洞影響要小于或等同于S2-032漏洞的影響范圍。

一、漏洞情況分析

Struts2是第二代基于Model-View-Controller(MVC)模型的java企業級web應用框架，并成為當時國內外較為流行的容器軟件中間件。此前在4月底，官方廠商發布了修復S2-032遠程代碼執行漏洞的Struts 2.3.20.3，2.3.24.3，2.3.28.1相關版本，近日又發布了S2-033的安全升級公告，但提示的對應升級版本號與此前S2-032相同。

根據CNVD技術組成員單位——綠盟科技公司提供的分析情況，在官方提供的版本庫中，刪除了Struts 2.3.20.2和2.3.24.2版本。這兩個版本是通過在DefaultActionMapper.java文件中加入了對method成員變量值的過濾，并針對“action：”濫用的問題禁止了絕大多數的特殊字符，這兩個版本也可以防范針對S2-032漏洞的攻擊。而最終修復S2-032\S2-033的版本則是直接將method方法引入了OGNL表達式（ObjectGraph Navigation Library），通過對OGNL表達式的過濾來修復漏洞。綜合上述情況，CNVD認為官方發布S2-033的安全公告只是有針對性地對部署REST插件功能的情形進行補充，漏洞技術成因仍與S2-032相同。

CNVD對該漏洞的綜合評級與S2-032相同，為“高危”。

二、漏洞影響范圍

漏洞影響使用REST插件的Struts 2.3.20 - 2.3.28 (除2.3.20.3和2.3.24.3以外)版本。

三、漏洞修復建議

用戶可禁用動態方法調用（DynamicMethod Invocation），修改Struts2的配置文件struts.xml，將struts.enable.DynamicMethodInvocation設置為“false”，關閉動態方法調用功能，來規避該漏洞的攻擊威脅。

Apache Struts官方已發布了升級程序修復該漏洞，CNVD建議用戶升級至struts 2.3.20.3，2.3.24.3，2.3.28.1版本。更新地址：https://cwiki.apache.org/confluence/display/WW/Migration+Guide。

附：參考鏈接：

http://struts.apache.org/docs/s2-033.html

http://www.cnvd.org.cn/flaw/show/CNVD-2016-03754

http://blog.nsfocus.net/apache-struts2-vulnerability-technical-analysis-protection-scheme-s2-033/（綠盟科技公司分析結果）

關于Apache Struts2披露存在遠程代碼執行漏洞（S2-033）的安全公告