總機(jī)：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號信源大廈3206-3211室 郵編：510660
安全公告編號:CNTA-2014-0016
3月11日，CNVD收錄了Apache Struts 2存在的拒絕服務(wù)和ClassLoader安全繞過漏洞（CNVD-2014-01552，對應(yīng)CVE-2014-0050和CVE-2014-0094），官方同步提供了Apache Struts 2.3.16.1作為升級版本。4月23日晚，安全人員研究發(fā)現(xiàn)其提供的升級版本并未完全修復(fù)漏洞，相關(guān)安全機(jī)制可被繞過，對互聯(lián)網(wǎng)上應(yīng)用Apache Struts2的大量服務(wù)器構(gòu)成拒絕服務(wù)和遠(yuǎn)程控制威脅。
一、漏洞成因和威脅
根據(jù)分析，Apache Struts 2.0.0-2.3.16版本的默認(rèn)上傳機(jī)制是基于Commons FileUpload 1.3版本，其附加的ParametersInterceptor允許訪問 'class' 參數(shù)（該參數(shù)直接映射到getClass()方法），并允許控制ClassLoader。在具體的Web容器部署環(huán)境下（如：Tomcat），攻擊者利用Web容器下的Java Class對象及其屬性參數(shù)（如：日志存儲參數(shù)），可向服務(wù)器發(fā)起遠(yuǎn)程代碼執(zhí)行攻擊，進(jìn)而植入網(wǎng)站后門控制網(wǎng)站服務(wù)器主機(jī)。
目前，已經(jīng)驗(yàn)證的測試案例表明Tomcat服務(wù)器易被發(fā)起拒絕服務(wù)或遠(yuǎn)程滲透攻擊，同時(shí)CNVD認(rèn)為ClassLoader安全繞過漏洞可進(jìn)一步涉及部署其他Web容器的網(wǎng)站服務(wù)器。CNVD對該漏洞的綜合評級為“高危”。
二、漏洞處置措施和建議
至24日17時(shí)，ApacheStruts2官方未提供進(jìn)一步的修復(fù)方法，僅在github網(wǎng)站上提出新的修復(fù)措施，但相關(guān)修復(fù)措施目前被驗(yàn)證仍然存在繞過風(fēng)險(xiǎn)。目前，國內(nèi)多家安全機(jī)構(gòu)也提出了臨時(shí)防護(hù)措施，CNVD綜合評估認(rèn)為，由于黑客的攻擊代碼可根據(jù)部署環(huán)境以及調(diào)用參數(shù)的不同而變化出多種形式，不排除目前防護(hù)措施未來存在被繞過的可能。
建議相關(guān)用戶在Web服務(wù)器上一方面要積極采用應(yīng)用層過濾的防護(hù)措施，同時(shí)也要及時(shí)關(guān)注Apache Struts2官方發(fā)布的最新漏洞補(bǔ)丁信息。
CNVD將持續(xù)監(jiān)測后續(xù)攻擊情況，包括利用代碼變種以及網(wǎng)站后門植入攻擊等，如需技術(shù)支援，請聯(lián)系郵箱：vreport@cert.org.cn，電話：010-82990286。
注：CNVD成員單位啟明星辰、綠盟科技公司提供了漏洞分析文檔，CNVD成員單位知道創(chuàng)宇、奇虎360公司以及國內(nèi)的翰海源公司提供了部分研判支持。
參考鏈接：
1、漏洞信息
http://www.cnvd.org.cn/flaw/show/CNVD-2014-01552
http://struts.apache.org/release/2.3.x/docs/s2-020.html
2、修復(fù)措施參考：
https://github.com/apache/struts/commit/aaf5a3010e3c11ae14e3d3c966a53ebab67146be(Apache Struts 2官方提供的修復(fù)措施，尚未完善)
http://blog.vulnhunt.com/index.php/2014/04/24/apache_struts2_0day/