信息來源：FreeBuf

千瘡百孔的Struts2應用又曝出存在新的高危遠程代碼執(zhí)行漏洞。該漏洞由lgtm.com的安全研究員匯報，編號為CVE-2017-9805，漏洞危害程度為高危（Critical）。當用戶使用帶有XStream程序的Struts REST插件來處理XML payloads時，可能會遭到遠程代碼執(zhí)行攻擊。

漏洞編號

CVE-2017-9805

S2-052

漏洞影響

Struts 2.5 – Struts 2.5.12 版本

漏洞概述

Struts2 REST插件使用帶有XStream程序的XStream Handler進行未經(jīng)任何代碼過濾的反序列化操作，這可能在反序列化XML payloads時導致遠程代碼執(zhí)行。任意攻擊者都可以構造惡意的XML內(nèi)容提升權限。

向下兼容

由于Struts的某些默認限制，部分REST插件可能會停止工作。 此時請檢查可能導致停止工作接口，這些接口分別是：

org.apache.struts2.rest.handler.AllowedClasses

org.apache.struts2.rest.handler.AllowedClassNames

org.apache.struts2.rest.handler.XStreamPermissionProvider

漏洞POC

暫無

解決方案

目前尚無完美解決方案，建議如下：

1.建議盡快升級到2.5.13版本。

2.在不使用時刪除Struts REST插件，或僅限于服務器普通頁面和JSONs：

<constant name=”struts.action.extension” value=”xhtml,,json” />