请选择 进入手机版 | 继续访问电脑版

IT运维管理,ITIL,ITSS,ITSM,ISO20000-ITIL先锋论坛

 找回密码
 点击获取邀请码 - 立即注册

QQ登录

只需一步,快速开始

扫一扫,访问微社区

艾拓先锋
搜索
查看: 57|回复: 0

[信息安全管理行业动态] Struts2再爆漏洞“血洗”互联网--内附检测工具

[复制链接]
来自- 广东广州

参加活动:0

组织活动:0

发表于 2018-8-9 16:01:38 | 显示全部楼层 |阅读模式 来自- 广东广州
Apache Struts2 再爆高危漏洞,南京银行、宁波银行、广州银行、北京农商银行、齐鲁银行、北京银行、温州银行、中国人寿财险、广发基金、华泰保险、网易等100多家网站被爆出存在漏洞,目前存在该漏洞还在不断的发酵中,提醒所有的使用该框架的产品做好监测和升级工作!

        Apache官方今天晚上发布安全公告(官方编号S2-032/CVE编号CVE-2016-3081),ApacheStruts2服务在开启动态方法调用(DMI)的情况下,可以被远程执行任意命令,安全威胁程度高。
        这一漏洞影响的软件版本为2.3.20-2.3.28,不过2.3.20.2、2.3.24.2两个版本除外,建议尽快升级到相应的最新版本,并关闭DMI。
这是自2012年Struts2命令执行漏洞大规模爆发之后,该服务时隔四年再次爆发大规模漏洞。
        截止目前,乌云漏洞报告平台已收到100多家网站的相关漏洞报告,其中银行占了很大比例。

        目前已有多个版本的漏洞利用POC在互联网流传,分为命令执行版本与直接写入Web后门的版本。
        乌云平台现在已经被该漏洞刷屏,据说后台还有100多个漏洞待审核,因此预计今天晚上会迎来该漏洞爆发的第一个小高峰,尤其是银行业恐怕会被血洗。
        结合历史情况分析,该漏洞除了会影响银行与互联网企业(网易/多玩等)以外,还可能影响政府、证券、保险等行业,相关服务一定要提前做好安全应急与防范措施!
        如果你在影响范围内,有两种解决方法:
        1、禁用动态方法调用
        修改Struts2的配置文件,将struts.enable.DynamicMethodInvocation的值设置为false,比如:
<constantname="struts.enable.DynamicMethodInvocation" value="false"/>;
        2、升级软件版本
        如果条件允许,可升级Struts版本至2.3.20.2、2.3.24.2或者2.3.28.1,这几个版本都不存在此漏洞。
        另附漏洞测试样例(无风险):
http://d047ab33ccbe2dda8.jie.sangebaimao.com/struts2-showcase/filedownload/index.action?method:%2523_memberAccess%253D@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS%252C%2523test%253D%2523context.get%2528%2523parameters.res%255B0%255D%2529.getWriter%2528%2529%252C%2523test.println%2528%2523parameters.command%255B0%255D%2529%252C%2523test.flush%2528%2529%252C%2523test.close%26res%3Dcom.opensymphony.xwork2.dispatcher.HttpServletResponse%26command%3D%2523%2523%2523Struts2%20S2-032%20Vulnerable%2523%2523%2523


免费赠送检测工具一枚!百度云盘免费下载:
http://pan.baidu.com/s/1gfjmabx

本版积分规则

QQ|小黑屋|手机版|Archiver|ITIL先锋论坛五万运维人社区 ( 粤ICP备17056641号|网站地图

Baidu

GMT+8, 2018-8-18 16:09 , Processed in 0.205005 second(s), 34 queries .

Powered by Discuz! X3.2

© 2001-2013 Comsenz Inc.

快速回复 返回顶部 返回列表