近年来,Struts2应用框架频发爆出安全漏洞,黑客利用漏洞可直接获取网站最高权限,进而窃取敏感信息、篡改网站页面。9月5日,Struts2应用框架爆出了新漏洞,对此,具体情况如下: 一、Apache Struts2(S2-052)远程代码执行漏洞情况 2017年9月5日,Apache Struts发布最新的安全公告,Apache Struts 2.5.x的REST插件存在远程代码执行的高危漏洞,漏洞编号为CVE-2017-9805(S2-052)。漏洞的成因是由于使用XStreamHandler反序列化XStream实例的时候没有任何类型过滤导致远程代码执行。目前,影响版本:Struts 2.5 - Struts 2.5.12 。 目前,国内信息安全公司初步给出此次漏洞解决方法:一是停止使用REST插件。二是限制服务端扩展类型: 二、防范措施建议 1.规避方案:立即升级到Struts 2.5.13。 注意:新版本使用的默认限制策略会导致REST的一些函数停止工作,会对一些业务造成影响,建议使用以下新的接口: ●org.apache.struts2.rest.handler.AllowedClasses ●org.apache.struts2.rest.handler.AllowedClassNames ●org.apache.struts2.rest.handler.XStreamPermissionProvider 2.临时修复方案: 1.停止使用REST插件。 2.限制服务端扩展类型: |