st2漏洞利用php源码,预警：Apache Struts2 远程代码命令执行漏洞（St2-052）

原标题：预警：Apache Struts2 远程代码命令执行漏洞(St2-052)

Semmle的研究人员发现了Struts2应用高危远程代码执行漏洞，当用户使用带有XStream程序的Struts REST插件来处理XML payloads时，可能会遭到远程代码执行攻击。

CVE编号：CVE-2017-9805

漏洞危害程度

高危(Critical)

受影响版本

Struts 2.5 - Struts 2.5.12

漏洞概况

Struts2 REST插件使用带有XStream程序的XStream Handler进行未经任何代 码过滤的反序列化操作，这可以在反序列化XML payloads时导致远程代码执 行。任意攻击者都可以构造恶意的XML内容提升权限。

Apache Struts介绍

Apache Struts是一个免费的，开源的模型 - 视图 - 控制器(MVC)框架，用于开 发支持REST，AJAX和JSON的Java编程语言的Web应用程序。

解决方法

1. 升级到Apache Struts版本2.5.13；

2. 在不使用时删除Struts REST插件，或仅限于服务器普通页面和JSONs；

由于应用的可用类的默认限制，某些REST操作可能会停止工作。在这种情况下，请调查介绍的新接口以允许每个操作定义类限制，这些接口是：

org.apache.struts2.rest.handler.AllowedClasses；

org.apache.struts2.rest.handler.AllowedClassNames；

org.apache.struts2.rest.handler.XStreamPermissionProvider；

来源：Theregister.co.uk返回搜狐，查看更多

责任编辑：