国产精品导航一区二区丨动漫成人无码精品一区二区三区丨久久国内精品自在自线波多野结氏丨久久久久久久久久久网站丨亚洲日韩乱码中文无码蜜桃臀网站丨午夜成人无码福利免费视频丨最新中文乱码字字幕在线丨夜夜骑夜夜操丨久久久久久久久久久av丨女人久久丨日本乱偷互换人妻中文字幕丨日本猛少妇色xxxxx猛交图片丨亚洲欧洲精品成人丨国产人成高清在线视频99最全资源丨91文字幕巨乱亚洲香蕉丨日本欧美视频在线观看丨三级黄毛片丨114一级片丨成人免费午夜福利片在线观看丨国产主播福利在线丨黄色的一级片丨久久99国产精品女同丨三区四区丨久久精品视频一区二区三区丨日韩一区二区三区在线视频

安全公告編號:CNTA-2016-0029

近日，國家信息安全漏洞共享平臺（CNVD）收錄了由啟明星辰公司提交的Apache struts2 devMode遠程代碼執行漏洞（CNVD-2016-04656）。該漏洞產生的原因是由于開啟了devMode模式且Apache Struts 2官方以往修復措施未完善（溯及S2-008漏洞），遠程攻擊者利用該漏洞可執行任意命令，進而控制服務器主機。

一、漏洞情況分析

Struts2是第二代基于Model-View-Controller(MVC)模型的java企業級web應用框架，并成為當時國內外較為流行的容器軟件中間件。為了便于開發人員調試程序，Struts2提供了devMode模式，可以方便查看程序錯誤以及日志等信息。

根據CNVD技術組成員單位——啟明星辰公司提供的分析情況，在2.3.28及之前版本中，devMode開啟時，DebuggingInterceptor類會檢測提交的debug參數是否包含console、command、browser這三個MODE。通過分析代碼發現，command、browser這兩個MODE調用了stack.findValue方法，可構造特定數據作為ognl表達式執行，使得Apache Struts S2-008漏洞一直延續到2.3.28版本。Apache Struts官方對2.3.28以后的版本代碼做了修改，加強了對OGNL鏈式表達式的過濾，啟明星辰公司通過對其安全機制研究，發現新的繞過缺陷，并能執行遠程指令完成HTTP回顯。

CNVD對漏洞的綜合評級均為“高危”。

二、漏洞影響范圍

受漏洞影響的版本Struts 2.1.0--2.5.1且開啟devMode模式的用戶。根據CNVD抽樣測試結果，受影響的Apache Struts2 服務器比例約為3%-4%，目前一些民間漏洞報告平臺已經有相關漏洞的案例報告。根據CNVD評估，目前已有專業人士知曉基本原理，有可能被快速利用（制造出攻擊利用代碼）發起大規模檢測或攻擊。

三、漏洞修復建議

根據Apache Struts2官方反饋，對于該風險未給予新的安全公告編號，只建議用戶關閉devMode模式（在配置文件中將devMode設置為false）。用戶可參照如下進行修改：

將struts.properties中的devMode設置為false，或是在struts.xml中添加如下代碼：<constant name="struts.devMode" value="false" />

附：參考鏈接：

http://mp.weixin.qq.com/s?__biz=MzAwNTI1NDI3MQ==&mid=2649611817&idx=1&sn=22c8b5372f668fed73dd67fb23e015fc&scene=1&srcid=0712BdncJHWeREpXFcaGpQjm&from=singlemessage&isappinstalled=0#wechat_redirect（啟明星辰公司分析結果）

http://struts.apache.org/docs/s2-008.html