武汉佳软信息技术有限公司

400-992-5998

佳软信息与您共筑安全网 为两会保驾护航

发布时间:2017-03-08 来源:佳软信息

      3月7日,国家信息安全漏洞共享平台(CNVD)发布了Apache struts2 S2-045远程代码执行漏洞安全公告(漏洞编号S2-045,CVE编号 :CVE-2017-5638),并定级为高危风险。
      由于J2EE框架Struts2在全球大量使用,该漏洞影响范围极广,黑客能利用所有使用Struts2开发框架的站点漏洞,通过浏览器在远程服务器上执行任意系统命令,从而引发数据泄露、网页篡改、植入后门,并让网站成为肉鸡。
      正值两会期间,佳软信息高度重视此次安全问题,公司迅速组织工作人员连夜加班对所有产品和系统进行排查,由于本公司所有产品和系统均采用json rpc技术,未受到此次安全漏洞影响,可以有效避免在线应用系统被入侵或业务中断,确保所有用户网站在两会期的安全运行,请您放心使用。

      系统应用未知安全风险永远存在,佳软信息将秉承服务为先的理念,做好安全保障和服务支撑,永远与您同在。


问答时间:
1、 什么是Apache struts2。
      Struts2是第二代基于Model-View-Controller(MVC)模型的java企业级web应用框架,并成为当时国内外较为流行的软件中间件。jakarta是apache组织下的一套Java解决方案的开源软件的名称,包括很多子项目。Struts就是jakarta的紧密关联项目。
2、 什么是json rpc。
      json rpc 是一种以json为消息格式的远程调用服务,它是一套允许运行在不同操作系统、不同环境的程序实现基于Internet过程调用的规范和一系列的实现。这种远程过程调用可以使用http作为传输协议,也可以使用其它传输协议,传输的内容是json消息体。
3、 此次漏洞危害。
      此次披露的安全漏洞是由于JakartaMultipartparser的文件上传模块在处理文件上传(multipart)的请求时对异常信息做了捕获,并对异常信息做了OGNL表达式处理。但在判断content-type不正确的时候会抛出异常并带上Content-Type属性值,可通过精心构造附带OGNL表达的URL导致远程代码执行。
      攻击者可通过发送恶意构造的HTTP数据包利用该漏洞,在受影响服务器上执行系统命令,进一步可完全控制该服务器,造成拒绝服务、数据泄露、网站造篡改等影响。由于该漏洞利用无需任何前置条件(如开启dmi,debug等功能)以及启用任何插件,因此漏洞危害较为严重。
4、 具体修复措施。
      目前,Apache官方已针对该漏洞发布安全公告。请受影响用户及时检查是否受该漏洞影响。
      【自查方式】
      用户可查看web目录下/WEB-INFb/目录下的struts-core.x.x.jar文件,如果这个版本在Struts2.3.5 到 Struts2.3.31 以及 Struts2.5 到 Struts2.5.10之间则存在漏洞。
      【升级修复】
      受影响用户可升级版本至Apache Struts 2.3.32 或 Apache Struts 2.5.10.1以消除漏洞影响。

      官方公告:

https://cwiki.apache.org/confluence/display/WW/S2-045?from=groupmessage&isappinstalled=0

      【临时缓解】
      如用户不方便升级,可采取如下临时解决方案:
      删除commons-fileupload-x.x.x.jar文件(会造成上传功能不可用)