【重大漏洞预警】Struts2 远程代码执行漏洞 S2-045 原理初步分析

最新推荐文章于 2023-02-04 16:34:03 发布

紫陌520

最新推荐文章于 2023-02-04 16:34:03 发布

阅读量2.7k

点赞数 2

分类专栏： Struts2 文章标签： struts 漏洞 apache 安全漏洞

本文链接：https://blog.csdn.net/u013987258/article/details/61928646

版权

Struts2 专栏收录该内容

2 篇文章 0 订阅

订阅专栏

北京时间3月6日晚，Apache基金会发布安全公告称，某旗下知名开源项目Apache Struts2 存在高危安全漏洞，允许攻击者远程执行代码，甚至获取服务器权限。目前已有漏洞利用流出。

1.漏洞公告：

请看： https://cwiki.apache.org/confluence/display/WW/S2-045

首先,仔细阅读漏洞描述：

Problem

It is possible to perform a RCE attack with a malicious Content-Type value. If the Content-Type value isn't valid an exception is thrown which is then used to display an error message to a user.

描述中明确了两点：

通过 Content-Type 这个header头，注入OGNL语言，进而执行命令。

漏洞的点在于，由于Strus2对错误消息处理时，出现了纰漏。

2.关于Struts2上传机制：

部分网上描述为:基于 Jakarta plugin插件。这种描述是不对的，Struts2有其插件机制，如之前爆过S2-037漏洞的REST插件。但Struts2上传默认使用的是org.apache.struts2.dispatcher.multipart.JakartaMultiPartRequest 类，对上传数据进行解析。不存在插件这个说法，只不过它最终调用了第三方组件 common upload 完成上传操作。

注：以下Struts2源码版本均是2.3.20。

具体可以看看源码流程，首先进入 StrutsPrepareAndExecuteFilter 类,这是Struts2默认配置的入口过滤器。在里面可以看到，Struts2首先对输入请求对象 request 的进行封装：

request = prepare.wrapRequest(request);

跟进这条语句，可以看到封装为StrutsRequestWrapper的过程:

if (request instanceof StrutsRequestWrapper) { return request;}String content_type = request.getContentType(); if (content_type != null && content_type.contains("multipart/form-data")) {//判断是不是post表单 MultiPartRequest mpr = getMultiPartRequest();//默认返回JakartaMultiPartRequest类 LocaleProvider provider = getContainer().getInstance(LocaleProvider.class); request = new MultiPartRequestWrapper(mpr, request, getSaveDir(), provider);} else { request = new StrutsRequestWrapper(request, disableRequestAttributeValueStackLookup);}return request;

上面我注释的两个地方便是关键。

multipart/form-data

网上流传的POC中有这么一部分：

#nike='multipart/form-data'

就是使content_type.contains("multipart/form-data")判断为true。当然，完全可以在其他地方添加multipart/form-data这个字符串。

getMultiPartRequest()

这个方法可以继续追踪下去。通过配置struts.multipart.parser属性，可以指定不同的解析类，而默认的就是上面说的org.apache.struts2.dispatcher.multipart.JakartaMultiPartRequest类。

网上可以查阅得到这样的解释:

struts.multipart.parser：该属性指定处理multipart/form-data的MIME类型(文件上传)请求的框架，该属性支持cos、pell和jakarta等属性值，即分别对应使用cos的文件上传框架、pell上传及common-fileupload文件上传框架。该属性的默认值为jakarta。

更进一步的官方说明： https://cwiki.apache.org/confluence/display/WW/File+Upload#FileUpload-AlternateLibraries

3.漏洞补丁对比

漏洞分析必然要补丁对比了。查看struts2在git上的commit，发现描述为Uses default error key if specified key doesn't exist的修改：

2.5.10.1版本修改：

https://github.com/apache/struts/commit/b06dd50af2a3319dd896bf5c2f4972d2b772cf2b

【漏洞分析】S2-045 原理初步分析（CVE-2017-5638） S2-045漏洞漏洞分析漏洞原理分析 ...