九游老哥云
Struts2 REST插件误差处置惩罚手册
2017-12-05
误差概述
北京时间2017年12月1日下昼，Struts官方果真了REST 插件的误差S2-054（CVE-2017-15707）和S2-055（CVE-2017-7525）。
S2-054：该误差源于REST插件引用的一个过时的JSON-lib库，当请求中包括有特制的JSON payload，服务器端通过JSON-lib对数据剖析时，可造成拒绝服务攻击。
S2-055：由于Struts2 框架引用的保存反序列化误差的Jackson组件，攻击者可在提交的json数据中嵌入恶意代码，服务器端通过Jackson组件对json数据剖析时，会导致远程代码执行。
详情请参考如下链接：
https://cwiki.apache.org/confluence/display/WW/S2-054
https://cwiki.apache.org/confluence/display/WW/s2-055
影响规模
受影响的版本
-Struts 2.5 – Struts 2.5.14
不受影响的版本
-Struts 2.5.14.1
误差检测
手工排查
S2-054：
在项目中查找是否使用json-lib-2.4-jdk15.jar，若是使用了该jar包，说明保存危害。
S2-055：
jackson-databind 组件被RedHat官方通告保存反序列化误差（CVE-2017-7525），相关信息科参考https://access.redhat.com/security/cve/CVE-2017-7525，Struts 2.5x版本中引用了保存误差的json-databind组件，可导致未授权用户可以执行恣意代码，
可在项目中找到以下jackson相关的jar包文件，判断引用的组件版本是否受影响，
|
jackson-annotations jackson-core jackson-databind |
若是上述jar包版本低于截图所示的2.9.2版本，则该系统保存远程代码执行的危害。
防护计划
升级Struts2框架
1. 升级Struts2框架可有用防护S2-054和S2-055误差。登录到官网下载页面，找到Struts 2.5.14.1，会见毗连如下：
http://struts.apache.org/download.cgi#struts2514.1
2. 点击下载依赖包struts-2.5.14.1-lib.zip，解压后进入lib目录。
3. 进入web应用的依赖包目录（web应用名称WEB-INFlib），不影响营业的条件下，在struts 2.5.14.1的lib目录中找到对应的jar包举行替换。
暂时解决计划
若您由于一些缘故原由暂时不可升级Struts 2整体框架，可参考如下计划，对S2-054和S2-055误差举行暂时防护。
参考官方的建议，针对S2-054误差，使用Jackson框架作为JSON ContentTypeHandler来替换默认的JSON-lib，可对该误差举行有用防护。可是由于Jackson保存S2-055反序列化误差，因此在替换JSON-lib后，还需更新Jackson版本。详细操作如下：
1. 使用Jackson替换JSON-lib：
1. 在项目中添加Jackson依赖，翻开pom.xml文件，在“
|
|
其中2.9.2为最新的Jackson版本，该版本修复了S2-055误差。
2. 设置Jackson Content Handler为默认Content Handler，参考下面的语句，在struts.xml找到响应的设置并举行修改：
|
|
参考链接如下：
http://struts.apache.org/plugins/rest/#use-jackson-framework-as-json-contenttypehancont
2. 更新Jackson：
1. 登录到官网的下载页面，找到Struts 2.5.14.1，会见毗连如下：
http://struts.apache.org/download.cgi#struts2514.1
2. 点击下载依赖包：struts-2.5.14.1-lib.zip
3. 将下载的依赖包解压后，找到以下jar包后，替换到项目中。
|
jackson-annotations-2.9.0.jar jackson-core-2.9.2.jar jackson-databind-2.9.2.jar |
以Struts2 2.5.24为例，请替换以下jar包。
|
jackson-annotations-2.8.0.jar -- jackson-annotations-2.9.0.jar jackson-core-2.8.2.jar -- jackson-core-2.9.2.jar jackson-databind-2.8.2.jar -- jackson-databind-2.9.2.jar |
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任。
九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
