struts2漏洞监测_Apache Struts2远程代码执行漏洞通告(CVE20190230)

漏洞综述

漏洞背景

Apache Struts2是美国Apache软件基金维护的一个开源项目，实现了基于MVC设计模式的应用框架，可用于高效创建企业级Java WEB应用程序。近日，新华三攻防实验室监测到Apache Struts官方发布了一则关于修复S2-059远程代码执行漏洞的安全公告，并进行了跟踪和分析。

漏洞原理

该漏洞点位于标签解析处，在Struts标签属性内强制进行OGNL表达式解析的情况下，Apache Struts2 未对某些标签的属性值进行安全校验，而直接进行二次表达式解析，攻击者可以通过构造恶意的请求，引发OGNL表达式解析，从而触发远程代码执行漏洞。

比如服务端代码如下：

List available Employees

skillName若可控，攻击者可传入一个恶意的OGNL表达式，则在标签渲染时，skillName会被二次解析而执行。

影响范围

影响范围

Apache Struts 2.0.0 - 2.5.20

处置方法

官方补丁

Struts官方已经在新版本中修复该漏洞，请升级至Struts 2.5.22及以上版本。

下载链接：

https://struts.apache.org/download.cgi#struts2522

新华三解决方案

该漏洞利用方式类似于S2-029/036，部署新华三IPS设备可以轻松防御此漏洞，请升级IPS特征库至最新版本并使能Apache Struts2相关规则。

声明

本安全公告仅用来描述可能存在的安全问题，未经新华三大安全允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，新华三大安全以及安全公告作者不为此承担任何责任。新华三大安全拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。

---

- END -

热点阅读：

重塑产业生态格局 新华三发布安全生态合作战略3.0 媒体声音丨新华三将提供集成式综合安全能力 媒体声音 | 新华三安全生态合作战略升至3.0阶段，与合作伙伴“共生共赢” 媒体声音 | 新华三：AI主动安全护航新基建 媒体声音 | 主动安全理念全新升级 新华三网络安全多点开花 新华三的安全“真生态” 产品技术 | 新华三网络安全态势感知与漏扫联动实践 产品技术 | 新华三态势感知解决方案，帮您把安全专家带回家！ 产品技术 | 新华三网络安全态势感知SOAR实践 产品技术 | 新华三网络安全态势感知UEBA实践 产品技术 | 新华三网络安全态势感知AI实践 产品技术 | 全面侦查全网联动 态势感知终端安全联动实践 新华三孙松儿：多云安全管理是一个值得研究和探讨的课题 这就是新华三的主动安全：全栈、意图、使能 详解主动安全防御体系架构：三个安全点、四个行为与六大能力 智变伐谋 细说新华三主动安全战略的五大演进方向 加装智能引擎 新华三主动安全战略再升级 内置智能引擎，看新华三主动安全战略如何加速进化？ 都在谈零信任安全，可落地才是成败的关键 从疫情防控措施来理解零信任理念在项目中的落 媒体声音 | 主动安全的“核”动力：用户体验 媒体声音 | 云安全“寡头”呼之欲出 解决方案篇 | 如何理解安全云管理平台在云安全中发挥的作用 解决方案篇 | 如何提高云上业务的安全保障 解决方案篇 | 新华三云安全资源池解决方案 解决方案篇 | 新华三云网安融合解决方案