AG公司云
Struts2 s2-052 REST插件远程代码执行 手艺剖析与防护计划
2017-09-07
综述
2017年9月5日，Apache Struts宣布最新的清静通告，Apache Struts 2.5.x以及之前的部分2.x版本的REST插件保存远程代码执行的高危误差，误差编号为CVE-2017-9805（S2-052）。误差的成因是由于使用XStreamHandler反序列化XStream实例的时间没有任何类型过滤导致远程代码执行。
相关地点：
https://struts.apache.org/docs/s2-052.html
https://cwiki.apache.org/confluence/display/WW/S2-052
受影响的版本
· Struts 2.1.2 – Struts 2.3.33
· Struts 2.5 - Struts 2.5.12
不受影响的版本
· Struts 2.3.34
· Struts 2.5.13
误差剖析
凭证官方的形貌信息来看，是REST插件使用到XStreamHandler处置惩罚xml数据的时间，由于未对xml数据做任何过滤，在举行反序列将xml数据转换成Object时导致的RCE。
情形搭建
从官方地点（https://archive.apache.org/dist/struts/2.5/struts-2.5-all.zip）下载所有源码包，找到其中的struts2-rest-showcase.war直接安排到tomcat就行，虽然我更喜欢手动编译，直接通过Maven编译即可。详细的安排历程这里就不详细形貌，不过有点是需要注重的，由于javax.imageio的依赖关系，我们的情形的jdk版本需要是jdk8以上，jdk8某些低版本也是不可的，本文作者的版本是jdk8_102，后续的一些验证都是在这个版本上做的
补丁剖析
情形搭建好了之后，首先我们来看下rest插件的相关设置
从这个文件中就可以看出XStreamHanler就是Content-Type:xml的默认处置惩罚句柄，并且可以看出xml是默认支持名堂，这也就是说保存rest插件就会保存XStream的反序列化误差。
接着看看官方的修复计划，补丁地点：https://github.com/apache/struts/commit/19494718865f2fb7da5ea363de3822f87fbda264
在官方的修复计划中主要就是将xml中的数据白名单化，把Collection和Map，一些基础类，时间类放在白名单中，这样就能阻止XStream反序列化的历程中带入一些有害类。
POC的天生
现在果真的Poc是基于javax.imageio的，这是能直接外地执行下令，可是marshelsec提供了11个XStream反序列化库，其中大部分都是基于JNDI，详细包括：CommonsConfiguration Rome CommonsBeanutils ServiceLoader ImageIO
BindingEnumeration LazySearchEnumeration SpringAbstractBeanFactoryPointcutAdvisor SpringPartiallyComparableAdvisorHolder Resin XBean，
从外部请求类完成反序列化。
误差验证及简朴剖析
下图是一个简朴的验证剖析图，从Poc中可以看出，请求是PUT，请求的url后缀带xml，请求的Content-Type为delicious/bookmark+xml，请求的xml的前缀是
接着我们看下触发的执行挪用栈：
在XStreamHanler.toObject挪用了XStream的fromXml，从而进入反序列化流程。
官方暂时缓解步伐不起作用
官方给出的缓解步伐
将下图红框部分修改为：
详细修改要领为：
使用压缩工具翻开对应的jar包，这里以struts2-rest-plugin-2.5.10.1.jar为例：
将struts-plugin.xml举行提取，修改对应的设置，重新放入压缩包中，替换原有设置：
重启服务器即可。
阻止xml剖析后，再次会见xml请求时，应用就会显示404过失，不再支持xml名堂数据的剖析。
下面给出测试用例，从我们的poc中也可以看出，POST请求不带xml的后缀直接忽视这个缓解步伐。XStream只跟Content-Type有关，若是Content-Type中含有xml，则会交给XStream处置惩罚，以是poc该怎么使还怎么使，下面看下我们的验证：
从图上可以看出，我们已经去除了xml的支持，下面来看看Payload的执行效果：
乐成弹出盘算器，这也就验证了我们的想法。同时通过两个差别poc的较量，我们也能发明一些眉目，Content-Type支持xml的几种名堂，POST请求，PUT请求，GET请求甚至是自界说请求都是能触发误差，我们可以将poc中
手艺防护计划
官方修复计划
Struts官方已经宣布了最新版本，请受影响的受用尽快升级来举行防护。
参考链接：
· Struts 2.3.34:
https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.3.34
· Struts 2.5.13:
https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.5.13
AG公司科技防护建议
AG公司科技检测类产品与服务
1、 公网资产可使用AG公司云 紧迫误差在线检测，检测地点如下：
https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?page_id=12
2、内网资产可以使用AG公司科技的远程清静评估系统(RSAS V6)或 Web应用误差扫描系统（WVSS），以及入侵检测系统(IDS) 举行检测。
远程清静评估系统（RSAS V6）
http://update.nsfocus.com/update/listRsasDetail/v/vulweb
Web应用误差扫描系统（WVSS）
http://update.nsfocus.com/update/listWvss
入侵检测系统（IDS）
http://update.nsfocus.com/update/listIds
通过上述链接，升级至最新版本即可举行检测
使用AG公司科技防护类产品（IPS/IDS/NF/WAF）举行防护：
入侵防护系统（IPS）
http://update.nsfocus.com/update/listIps
下一代防火墙系统（NF）
http://update.nsfocus.com/update/listNf
Web应用防护系统（WAF）
http://update.nsfocus.com/update/wafIndex
通过上述链接，升级至最新版本即可举行防护！
暂时解决计划
添加xml过滤器，将所有的contentType为“application/xml”的请谴责部过滤。该计划会导致所有contentType为application/xml的请求失效，为暂时性的防护计划。
详细过滤器代码如下：
|
public void doFilter(ServletRequest request ServletResponse response FilterChain chain) throws IOException ServletException { if (request.getContentType() != null) { String contentType = request.getContentType().toLowerCase(Locale.ENGLISH); if (contentType != null && contentType.contains("application/xml")) { response.getWriter().write("Reject!"); } else { chain.doFilter(request response); } } else { chain.doFilter(request response); } } |
添加该过滤器后，使用POC测试，可以阻挡：
需要注重的是，新版本使用的默认限制战略会导致REST的一些函数阻止事情，会对一些营业造成影响，建议使用以下新的接口：
org.apache.struts2.rest.handler.AllowedClasses
org.apache.struts2.rest.handler.AllowedClassNames
org.apache.struts2.rest.handler.XStreamPermissionProvider
声 明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任。AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
