Apache Struts2 S2-045 漏洞 (CVE-2017-5638)

Struts2 S2-045 漏洞 (CVE-2017-5638)

S2-045的漏洞可以導致網站資料外洩、被植入木馬程式等風險

影響範圍:Struts 2.3.5 - Struts 2.3.31, Struts 2.5 - Struts 2.5.10
建議升級:Struts 2.3.32 或 Struts 2.5.10.1

Struts使用的Jakarta解析文件上傳請求包不當,當遠程攻擊者構造惡意的Content-Type,可能導致遠程命令執行。

實際上在default.properties文件中,struts.multipart.parser的值有兩個選擇,
分別是jakarta和pell(另外原本其實也有第三種選擇cos)。

其中的jakarta是Struts 2框架的標準組成部分。默認情況下jakarta是啟用的,
所以該漏洞的嚴重性需要得到正視。

【漏洞預警】Apache Struts2 曝任意代碼執行漏洞(S2-045,CVE-2017-5638)
http://www.freebuf.com/vuls/128668.html

Apache S2-045
https://cwiki.apache.org/confluence/display/WW/S2-045

str2-045漏洞指南【附有POC和EXP】
http://bbs.ichunqiu.com/thread-19964-1-1.html

傳說中的s2-045利用工具來了
http://bbs.ichunqiu.com/thread-19963-1-1.html

pip install poster poc和exp源碼
http://bbs.ichunqiu.com/thread-19964-1-1.html

Apache Struts2再度爆發高風險漏洞,HITCON Zeroday通報:已有臺灣金融業者受駭
http://www.ithome.com.tw/news/112591

str2-045漏洞的加固方案
http://bbs.ichunqiu.com/thread-19971-1-1.html

Strurs2又現高危漏洞(附Poc&Exp)
http://www.ijiandao.com/safe/cto/46798.html

S2-045 原理初步分析(CVE-2017-5638)
http://paper.seebug.org/241/

關於Apache Struts2存在S2-045遠程代碼執行漏洞的安全公告
http://www.cnvd.org.cn/webinfo/show/4080