AG公司云
Apache Struts2 远程代码执行误差（S2-057） 手艺剖析与防护计划
2018-08-24
综述
北京时间2018年8月22日 ，Apache官方宣布通告宣布了Struts2中一个远程代码执行误差（CVE-2018-11776 ，CNVD-2018-15894 ，CNNVD-201808-740）。该误差在两种情形下保存 ，第一 ，当xml设置中未设置namespace值 ，且上层行动设置（action(s) configurations）中未设置或使用通配符namespace值时 ，可能导致远程代码执行误差的爆发。第二 ，使用未设置value和action值的url标签 ，且上层行动设置中未设置或使用通配符namespace值 ，同样可能导致远程代码执行。
相关链接如下：https://cwiki.apache.org/confluence/display/WW/S2-057
受影响版本
l Struts 2.3 - 2.3.34
l Struts 2.5 - 2.5.16
不受影响版本
l Struts 2.3.35
l Struts 2.5.17
手艺防护计划
版本检测
通过设置文件检测
此误差爆发于低版本的Struts组件 ，当应用系统引入相关组件时 ，将保存被攻击者远程攻击的危害。建议由应用开发职员排查引入组件的版本是否处于受影响规模之内。
审查Maven设置文件pom.xml中关于组件的版本。如：
|
<dependency> <groupId>org.apache.struts</groupId> <artifactId>struts2-core</artifactId> <version>2.5.13</version> </dependency> |
通过组件名检测若红字所示版本在受影响规模内 ，则请用户尽快升级Struts2至最新版本 ，以包管恒久有用的防护。
Linux系统下可使用以下下令查找目今使用的struts2-core包 ，通过审查其文件名 ，判断目今版本。
|
find / -name struts2-core-*.jar |
若红框处版本号在受影响规模内 ，则请用户尽快升级至最新版本。
官方修复计划
官方已在最新版本中修复了此误差 ，请用户尽快将Struts升级至官方修复版本 ，2.3.*的用户请升级至2.3.35；2.5.*的用户请升级至2.5.17。下载链接如下所示：
Struts2.3.35:
http://mirrors.hust.edu.cn/apache/struts/2.3.35/struts-2.3.35-all.zip
Struts2.5.17:
http://mirrors.hust.edu.cn/apache/struts/2.5.17/struts-2.5.17-all.zip
暂时解决计划
排查所有Struts 2的设置文件 ，如struts.xml ，为没有界说namespace命名空间的package节点添加命名空间设置。
|
<package name="user" namespace="/user" extends="struts-default"> <action name="login"> </action> </package> |
AG公司科技防护建议
AG公司科技检测类产品与服务
1、 公网资产可使用AG公司云 紧迫误差在线检测 ，检测地点如下：
手机端会看法址：
https://cloud.nsfocus.com/megi/holes/hole_struts2_2018_8_23.html
PC端会看法址：
https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?service_id=1026
2、内网资产可以使用AG公司科技的入侵检测系统(IDS) ，远程清静评估系统（RSAS V5、V6）和Web应用误差扫描系统（WVSS）举行检测。
l 入侵检测系统（IDS）
http://update.nsfocus.com/update/listIds
l 远程清静评估系统（RSAS V5）
http://update.nsfocus.com/update/listAurora/v/5
l 远程清静评估系统（RSAS V6）
http://update.nsfocus.com/update/listRsasDetail/v/vulweb
l Web应用误差扫描系统（WVSS）http://update.nsfocus.com/update/listWvssDetail/v/6/t/plg
通过上述链接 ，升级至最新版本即可举行检测！
使用AG公司科技防护类产品举行防护
l 入侵防护系统（IPS）
http://update.nsfocus.com/update/listIps
l 下一代防火墙系统（NF）
http://update.nsfocus.com/update/listNf
l Web应用防护系统（WAF）
http://update.nsfocus.com/update/wafIndex
通过上述链接 ，升级至最新版本即可举行防护！
检测防护产品升级包/规则版本号
|
检测产品 |
升级包/规则版本号 |
|
IDS |
5.6.7.732、5.6.8.732、5.6.9.18479、5.6.10.18479 |
|
RSAS V5 web插件包 |
V051758 |
|
RSAS V6 web插件包 |
V6.0R02F00.1004 |
|
WVSS V6 web插件包 |
V6.0R03F00.113 |
|
防护产品 |
升级包/规则版本号 |
|
IPS |
5.6.7.732、5.6.8.732、5.6.9.18479、5.6.10.18479 |
|
NF |
5.6.7.732、6.0.1.732 |
|
WAF |
v6.0.5.1.39591、v6.0.7.0.39590、v6.0.6.1.39589 |
详细设置详见附录
手艺剖析
补丁比照
如图所示 ，补丁主要添加了cleanNamespaceName要领 ，该要领通过白名单的方法来验证namespace是否正当 ，从官方形貌和误差修复方法来看 ，该误差应该是一个Ognl的表达式注入误差。
动态剖析
误差宣布几个小时之后 ，误差发明作者宣布了整个发明历程 ，并且详细剖析了一种误差情形：https://lgtm.com/blog/apache_struts_CVE-2018-11776。凭证该博客的说法 ，拉取struts2-showcase项目作为示例 ，修改struts-actionchaining.xml ，详细如下：
|
1. <struts> 2. <package name="actionchaining" extends="struts-default" > 3. <action name="actionChain1" class="org.apache.struts2.showcase.actionchaining.ActionChain1"> 4. <result type="redirectAction"> 5. <param name = "actionName">register2</param> 6. </result> 7. </action> 8. </package> 9. </struts>
|
在这种情形下 ，所有到actionChain1.action的请求的返回效果都会指向register2 ，并且执行链会到ServletActionRedirectResult.execute要领中 ，详细如下：
从上图可以看出 ，通过namespace字段 ，污染了tmpLocation字典 ，并且设置为了预期的执行的PoC ，这也是补丁中为什么要净化namespace的缘故原由 ，继续跟踪namespace的去向执行链会到ServletActionRedirectResult的父类的父类StrutsResultSupport.execute要领中 ，详细如下图：
这里有个conditionParse要领 ，这个方法就是使用Ognl表达式来盘算数据值 ，在系统中用得很是多 ，并且在一些历史误差中 ，也应该由它来背锅 ，虽然最大的锅照旧struts官方 ，每次误差出在哪就修在哪 ，典范的头痛医头 ，脚痛医脚。要领实现如下图所示：
在这个要领中会使用到TextParseUtil.translateVariables要领 ，继续跟踪 ，挪用栈进入OgnlTextParser中的evaluate要领首先会判断传入的表达式是否正当 ，好比是否能找到${}或者%{}对 ，接着挪用evaluator.evaluate求值 ，求值历程很是重大 ，总得来说就是链式执行历程 ，详细如下挪用栈：
从上图也可以看出最顶层就是通过反射的方法来挪用ProcessBuilder的结构函数 ，中心部分就是链式执行历程中牵涉到一些操作。
我们可以看下求值历程中参数的一些情形。来审查Ognl清静加固的一些转变 ，详细如下图：
主要是黑名单上又添加了一些类 ，划分是：
class
ognl.DefaultMemberAccess
class com.opensymphony.xwork2.ognl.SecurityMemberAccess
class java.lang.ProcessBuilder
剖析就竣事了 ，盘算器照旧要弹的 ，如下图：
防护计划下载
Apache Struts2 远程代码执行误差（S2-057） 手艺剖析与防护计划
