【漏洞预警】Struts2又双叒叕出现远程代码执行漏洞

原创 时间 2017-07-07  追风小组 神月资讯

近期,Struts2官方已经确认存在新的远程代码执行漏洞,漏洞编号S2-048,CVE编号:CVE-2017-9791),漏洞危害程度为高危(High)。

近期,Struts2官方已经确认存在新的远程代码执行漏洞,漏洞编号S2-048,CVE编号:CVE-2017-9791),漏洞危害程度为高危(High)。

0x01.漏洞详情

漏洞编号:CVE-2017-9791

漏洞作者:icez ic3z#qq.com

影响范围:Struts 2.3.x系列中的Showcase应用。

漏洞等级:高危

0x02.产生原因

当Struts 2中的  Struts 1插件启用的情况下(注意,该插件非默认插件),攻击者通过使用恶意字段值可能造成RCE。这些不可信的输入数据被带入到ActionMessage类中的错误信息中造成了远程代码执行漏洞。

0x03.缓解措施

向ActionMessage传递原始消息时,不能直接传递原始数值,应采用通过resource keys的方式传递数值给ActionMessage的方式:

messages.add("msg", new ActionMessage("struts1.gangsterAdded", gform.getName()));

错误传递方式:

messages.add("msg", new ActionMessage("Gangster " + gform.getName() + " was added"));


微信图片_20170819021607.jpg


<<上一篇 下一篇>>