struts2 漏洞CVE-2017-5638 S2-046 注意后面的编号不一样 绿盟科技发布威胁预警通告

3月8日，安全加报道 struts2 漏洞分析与防护方案 CVE-2017-5638 S2-045 ，今天又爆出一个漏洞。不过不用惊慌，这个漏洞跟前两天的s2-045漏洞的CVE编号（CVE-2017-5638）是一样的，只是攻击利用时候的攻击字段发生了改变。如果已经按照s2-045漏洞的升级要求升级到2.3.32或者2.5.10.1的话，就不受影响了。绿盟科技发布《 Apache Struts2 远程代码执行漏洞（S2-046）威胁预警通告 》，全文见后。

Apache Struts2官方描述信息如下

S2-046漏洞描述

It is possible to perform a RCE attack with a malicious Content-Disposition value or with improper Content-Length header. If the Content-Dispostion / Content-Length value is not valid an exception is thrown which is then used to display an error message to a user. This is a different vector for the same vulnerability described in S2-045 (CVE-2017-5638).

相关链接如下：

https://struts.apache.org/docs/s2-046.html

S2-046漏洞解决方案

如果使用 Jakarta based file upload Multipart parser, 升级到 Apache Struts version 2.3.32 or 2.5.10.1.

据称S2-046漏洞PoC已经出来了

https://github.com/pwntester/S2-046-PoC

《Apache Struts2 远程代码执行漏洞（S2-046）威胁预警通告》

3月21日凌晨，Apache Struts2官方发布了一条安全公告，该公告指出Apache Struts2的Jakarta Multipart parser插件存在远程代码执行漏洞，漏洞编号为CVE-2017-5638。攻击者可以在使用该插件上传文件时，通过修改Content-Length头的值，并且在Content-Disposition 值中添加恶意代码，导致远程代码执行。该漏洞与之前S2-045漏洞成因及原理一样（CVE漏洞编号是同一个），只是漏洞利用的字段发生了改变。

相关地址：

https://struts.apache.org/docs/s2-046.html

https://cwiki.apache.org/confluence/display/WW/S2-046

绿盟科技威胁预警级别

高级：影响范围比较广，危害严重，利用难度较低，7*24小时内部应急跟踪，24小时内完成技术分析、产品升级和防护方案。

绿盟科技安全团队会持续关注事态变化，后续会发布详细的分析报告、产品升级及解决方案，请广大用户随时关注。

绿盟科技威胁事件定级标准

级别    描述

• 高    影响范围比较广，危害严重，利用难度较低，7*24小时内部应急跟踪，24小时内完成技术分析、产品升级和防护方案。
• 中    影响范围可控，危害程度可控，利用难度较高，7*8小时内部应急跟踪，72小时内完成技术分析、产品升级和防护方案。
• 低    影响较小，危害程度较小。

Apache Struts2 远程代码执行漏洞（S2-046）影响范围

影响的版本

• Struts 2.3.5 - Struts 2.3.31
• Struts 2.5 – Struts 2.5.10

不受影响的版本

• Struts 2.3.32
• Struts 2.5.10.1

修复方法

• 官方表示，如果用户正在使用基于Jakarta的文件上传插件，建议升级至Struts版本2.3.32或2.5.10.1。
• 如果暂时不便升级，官方也已准备了两个可以作为应急使用的Jakarta插件版本，用户可以下载使用，链接地址如下：​
  • https://github.com/apache/struts-extras
• 改用其他Multipart parser应用，比如Pell，相关链接如下：
  • https://cwiki.apache.org/confluence/display/S2PLUGINS/Pell+Multipart+Plugin

绿盟科技声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。

原文发布时间：2017年3月24日

本文由：绿盟科技发布，版权归属于原作者

原文链接:http://toutiao.secjia.com/struts2-vulnerability-cve-2017-5638-s2-046

本文来自云栖社区合作伙伴安全加，了解相关信息可以关注安全加网站