Struts2漏洞修补方式

admin

Apache官方今天晚上发布安全公告(官方编号S2-032/CVE编号CVE-2016-3081)，Apache struts2服务在开启动态方法调用(DMI)的情况下，可以被远程执行任意命令，安全威胁程度高。
- l9 v3 `- |- Q* j
3 L/ o& {8 |  o+ G; k+ O7 Z9 u- i$ p
这一漏洞影响的软件版本为2.3.20-2.3.28，不过2.3.20.2、2.3.24.2两个版本除外，建议尽快升级到相应的最新版本，并关闭DMI。
7 x; `' V/ V: ^8 V" Y+ l
' o: L3 D+ ]  x" G3 X+ y. B$ s# W/ K3 t) O
这是自2012年Struts2命令执行漏洞大规模爆发之后，该服务时隔四年再次爆发大规模漏洞。
7 g5 _) G1 T6 Y  \' g& h, U今天晚上 中国互联网被Struts2漏洞血洗

) j# q( z$ d) Q  L) p
截止目前，乌云漏洞报告平台已收到100多家网站的相关漏洞报告，其中银行占了很大比例。
目前已有多个版本的漏洞利用POC在互联网流传，分为命令执行版本与直接写入Web后门的版本。
3 ~6 R! w2 v% h* g) A0 t

今天晚上 中国互联网被Struts2漏洞血洗
. R, g" r0 T% P# R& o/ S乌云平台现在已经被该漏洞刷屏，据说后台还有100多个漏洞待审核，因此预计今天晚上会迎来该漏洞爆发的第一个小高峰，尤其是银行业恐怕会被血洗。


结合历史情况分析，该漏洞除了会影响银行与互联网企业(网易/多玩等)以外，还可能影响政府、证券、保险等行业，相关服务一定要提前做好安全应急与防范措施！
+ L* h' Q2 g. _' D

/ f/ U  N2 [6 B. B; \' c8 m今天晚上 中国互联网被Struts2漏洞血洗
如果你在影响范围内，有两种解决方法：
1、禁用动态方法调用
, m8 ~) _# z/ J& F+ {5 F修改Struts2的配置文件，将“struts.enable.DynamicMethodInvocation”的值设置为false，比如：
<constant name="struts.enable.DynamicMethodInvocation" value="false" />；
% K- o; o* l# |3 A2、升级软件版本
4 ]9 w+ U( m8 y! M) H6 m如果条件允许，可升级Struts版本至2.3.20.2、2.3.24.2或者2.3.28.1，这几个版本都不存在此漏洞。
8 {- ~, T) |  X# L升级地址：https://struts.apache.org/download.cgi#struts23281
* ^2 }) }& `& J+ A* W" {+ ?另附漏洞测试样例(无风险)：




7 y8 [6 p: u3 @4 @; p" m: Z由于 Struts2服务在开启动态方法调用(DMI)的情况下，可以被远程执行任意命令，安全威胁程度高。
, B# Q0 r5 v6 O$ u) R$ Y4 y7 Q5 [. ^
! S/ u) W; z, P
这一漏洞影响的软件版本为2.3.20-2.3.28


  m2 U9 Q3 v4 r2 U# \4 m# ~老版本
freemarker-2.3.16.jar  ognl-3.0.6.jar  struts2-core-2.3.20.jar  xwork-core-2.3.20.jar
/ t' H: F; l& L' |, y2 h4 i新版本

freemarker-2.3.22.jar  ognl-3.0.14.jar  struts2-core-2.3.28.1.jar  xwork-core-2.3.28.1.jar

( O0 E7 @) K  ~+ }1 P. C% ?* c