塞凌云 首页 新闻 公司新闻 查看内容

Struts2应用框架漏洞预警

2017-9-5 16:56| 发布者: 爱企业| 查看: 1833| 评论: 0
摘要: 2017年9月5日,Apache Struts发布最新的安全公告,Apache Struts 2.5.x的REST插件存在远程代码执行的高危漏洞,漏洞编号为CVE-2017-9805(S2-052)。漏洞的成因是由于使用XStreamHandler反序列化XStream实例的时候没有 ...

  近年来,Struts2应用框架频发爆出安全漏洞,黑客利用漏洞可直接获取网站最高权限,进而窃取敏感信息、篡改网站页面。9月5日,Struts2应用框架爆出了新漏洞,对此,具体情况如下:

  一、Apache Struts2(S2-052)远程代码执行漏洞情况

  2017年9月5日,Apache Struts发布最新的安全公告,Apache Struts 2.5.x的REST插件存在远程代码执行的高危漏洞,漏洞编号为CVE-2017-9805(S2-052)。漏洞的成因是由于使用XStreamHandler反序列化XStream实例的时候没有任何类型过滤导致远程代码执行。目前,影响版本:Struts 2.5 - Struts 2.5.12 。

  目前,国内信息安全公司初步给出此次漏洞解决方法:一是停止使用REST插件。二是限制服务端扩展类型:

  二、防范措施建议

  1.规避方案:立即升级到Struts 2.5.13。

  注意:新版本使用的默认限制策略会导致REST的一些函数停止工作,会对一些业务造成影响,建议使用以下新的接口:

  ●org.apache.struts2.rest.handler.AllowedClasses

  ●org.apache.struts2.rest.handler.AllowedClassNames

  ●org.apache.struts2.rest.handler.XStreamPermissionProvider

  2.临时修复方案:

  1.停止使用REST插件。

  2.限制服务端扩展类型:

服务热线

010-8646 0166
服务时间:7×24小时
客服邮箱:fuwu@aiqiye.cc

解决方案

爱企业微信公众号

Copyright ©2011-2021 北京塞凌泰克科技有限公司 塞凌云 京公网安备 11011402010108号 京ICP备11029861号-8