ApacheStruts2远程代码执行漏洞（S2-046）.PDF

Apache Struts2 远程代码执行漏洞（S2-046 ） 技术分析与防护方案 发布时间：2017 年 3 月 22 日 综述 3 月 21 日凌晨，Apache Struts2 官方发布了一条安全公告，该公告指出 Apache Struts2 的Jakarta Multipart parser 插件存在远程代码执行漏洞，漏洞 编号为 CVE-2017-5638。攻击者可以通过设置 Content-Disposition 的 filename 字段或者设置 Content-Length 超过 2G 这两种方式来触发异常并导致 filename 字段中的 OGNL 表达式得到执行从而达到远程攻击的目的。该漏洞与 @绿盟科技2017 之前 S2-045 漏洞成因及原理一样 （CVE 漏洞编号是同一个 ），只是漏洞利用 的字段发生了改变。 相关地址 ： /docs/s2-046.html /confluence/display/WW/S2-046 影响的版本  Struts 2.3.5 - Struts 2.3.31  Struts 2.5 – Struts 2.5.10 不受影响的版本  Struts 2.3.32  Struts 绿盟威胁情报中心 NTI 关于 Struts2 漏洞范 围分布图 (1) 全球分布图 @绿盟科技2017 (2) 国内分布图 (3) 全球排行 @绿盟科技2017 (4) 国内排行 @绿盟科技2017 漏洞分析 (1) 漏洞简介 Apache Struts2 存在远程代码执行漏洞，攻击者可以将恶意代码放入 http 报文头部的 Content-Disposition 的filename 字段 ，通过不恰当的filename 字 段或者大小超过 2G 的 Content-Length 字段来触发异常 ，进而导致任意代码执 行。 (2) 漏洞分析 官方的漏洞描述如下 ： It is possible to perform a RCE attack with a malicious Content- Disposition value or with improper Content-Length header. If the Content- Dispostion / Content-Length value is not valid an exception is thrown which is then used to display an error message to a user. This is a different vector for the same vulnerability described in S2-045 (CVE-2017-5638) 从官方的漏洞描述我们可以知道，这个漏洞是由于 Struts2 对错误消息处理 出现了问题，漏洞原理同 S2-045。但是触发点不一样，可以通过 Content- Dispostion 中的含有%00 的filename 字段，或者 Content-Length 超过 2G 大 小来触发这个漏洞。 本次分析基于 Struts 2.3.24 版本进行测试。POC 及漏洞验证如下： @绿盟科技2017 首先我们尝试 Content-Disposition 字段，看一下 POC ，攻击指令通过 Content-Disposition的filename 字段传递给存在漏洞的服务器。下面先看一 下远程命令执行注入点，这个和 S2-045 是一样的 ： 观察报错输出的调用栈，从这里可以看出端倪： 最终出现异常的位置在 checkFileName 函数处，下面接着看 checkFileName 的实现： @绿盟科技2017