九游老哥云
Apache Struts2 远程代码执行误差（S2-057） 手艺剖析与防护计划
2018-08-24
综述
北京时间2018年8月22日，Apache官方宣布通告宣布了Struts2中一个远程代码执行误差（CVE-2018-11776，CNVD-2018-15894，CNNVD-201808-740）。该误差在两种情形下保存，第一，当xml设置中未设置namespace值，且上层行动设置（action(s) configurations）中未设置或使用通配符namespace值时，可能导致远程代码执行误差的爆发。第二，使用未设置value和action值的url标签，且上层行动设置中未设置或使用通配符namespace值，同样可能导致远程代码执行。
相关链接如下：https://cwiki.apache.org/confluence/display/WW/S2-057
受影响版本
l Struts 2.3 - 2.3.34
l Struts 2.5 - 2.5.16
不受影响版本
l Struts 2.3.35
l Struts 2.5.17
手艺防护计划
版本检测
通过设置文件检测
此误差爆发于低版本的Struts组件，当应用系统引入相关组件时，将保存被攻击者远程攻击的危害。建议由应用开发职员排查引入组件的版本是否处于受影响规模之内。
审查Maven设置文件pom.xml中关于组件的版本。如：
|
<dependency> <groupId>org.apache.struts</groupId> <artifactId>struts2-core</artifactId> <version>2.5.13</version> </dependency> |
通过组件名检测若红字所示版本在受影响规模内，则请用户尽快升级Struts2至最新版本，以包管恒久有用的防护。
Linux系统下可使用以下下令查找目今使用的struts2-core包，通过审查其文件名，判断目今版本。
|
find / -name struts2-core-*.jar |
若红框处版本号在受影响规模内，则请用户尽快升级至最新版本。
官方修复计划
官方已在最新版本中修复了此误差，请用户尽快将Struts升级至官方修复版本，2.3.*的用户请升级至2.3.35；2.5.*的用户请升级至2.5.17。下载链接如下所示：
Struts2.3.35:
http://mirrors.hust.edu.cn/apache/struts/2.3.35/struts-2.3.35-all.zip
Struts2.5.17:
http://mirrors.hust.edu.cn/apache/struts/2.5.17/struts-2.5.17-all.zip
暂时解决计划
排查所有Struts 2的设置文件，如struts.xml，为没有界说namespace命名空间的package节点添加命名空间设置。
|
<package name="user" namespace="/user" extends="struts-default"> <action name="login"> </action> </package> |
九游老哥科技防护建议
九游老哥科技检测类产品与服务
1、 公网资产可使用九游老哥云 紧迫误差在线检测，检测地点如下：
手机端会看法址：
https://cloud.nsfocus.com/megi/holes/hole_struts2_2018_8_23.html
PC端会看法址：
https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?service_id=1026
2、内网资产可以使用九游老哥科技的入侵检测系统(IDS)，远程清静评估系统（RSAS V5、V6）和Web应用误差扫描系统（WVSS）举行检测。
l 入侵检测系统（IDS）
http://update.nsfocus.com/update/listIds
l 远程清静评估系统（RSAS V5）
http://update.nsfocus.com/update/listAurora/v/5
l 远程清静评估系统（RSAS V6）
http://update.nsfocus.com/update/listRsasDetail/v/vulweb
l Web应用误差扫描系统（WVSS）http://update.nsfocus.com/update/listWvssDetail/v/6/t/plg
通过上述链接，升级至最新版本即可举行检测！
使用九游老哥科技防护类产品举行防护
l 入侵防护系统（IPS）
http://update.nsfocus.com/update/listIps
l 下一代防火墙系统（NF）
http://update.nsfocus.com/update/listNf
l Web应用防护系统（WAF）
http://update.nsfocus.com/update/wafIndex
通过上述链接，升级至最新版本即可举行防护！
检测防护产品升级包/规则版本号
|
检测产品 |
升级包/规则版本号 |
|
IDS |
5.6.7.732、5.6.8.732、5.6.9.18479、5.6.10.18479 |
|
RSAS V5 web插件包 |
V051758 |
|
RSAS V6 web插件包 |
V6.0R02F00.1004 |
|
WVSS V6 web插件包 |
V6.0R03F00.113 |
|
防护产品 |
升级包/规则版本号 |
|
IPS |
5.6.7.732、5.6.8.732、5.6.9.18479、5.6.10.18479 |
|
NF |
5.6.7.732、6.0.1.732 |
|
WAF |
v6.0.5.1.39591、v6.0.7.0.39590、v6.0.6.1.39589 |
详细设置详见附录
手艺剖析
补丁比照
如图所示，补丁主要添加了cleanNamespaceName要领，该要领通过白名单的方法来验证namespace是否正当，从官方形貌和误差修复方法来看，该误差应该是一个Ognl的表达式注入误差。
动态剖析
误差宣布几个小时之后，误差发明作者宣布了整个发明历程，并且详细剖析了一种误差情形：https://lgtm.com/blog/apache_struts_CVE-2018-11776。凭证该博客的说法，拉取struts2-showcase项目作为示例，修改struts-actionchaining.xml，详细如下：
|
1. <struts> 2. <package name="actionchaining" extends="struts-default" > 3. <action name="actionChain1" class="org.apache.struts2.showcase.actionchaining.ActionChain1"> 4. <result type="redirectAction"> 5. <param name = "actionName">register2</param> 6. </result> 7. </action> 8. </package> 9. </struts>
|
在这种情形下，所有到actionChain1.action的请求的返回效果都会指向register2，并且执行链会到ServletActionRedirectResult.execute要领中，详细如下：
从上图可以看出，通过namespace字段，污染了tmpLocation字典，并且设置为了预期的执行的PoC，这也是补丁中为什么要净化namespace的缘故原由，继续跟踪namespace的去向执行链会到ServletActionRedirectResult的父类的父类StrutsResultSupport.execute要领中，详细如下图：
这里有个conditionParse要领，这个方法就是使用Ognl表达式来盘算数据值，在系统中用得很是多，并且在一些历史误差中，也应该由它来背锅，虽然最大的锅照旧struts官方，每次误差出在哪就修在哪，典范的头痛医头，脚痛医脚。要领实现如下图所示：
在这个要领中会使用到TextParseUtil.translateVariables要领，继续跟踪，挪用栈进入OgnlTextParser中的evaluate要领首先会判断传入的表达式是否正当，好比是否能找到${}或者%{}对，接着挪用evaluator.evaluate求值，求值历程很是重大，总得来说就是链式执行历程，详细如下挪用栈：
从上图也可以看出最顶层就是通过反射的方法来挪用ProcessBuilder的结构函数，中心部分就是链式执行历程中牵涉到一些操作。
我们可以看下求值历程中参数的一些情形。来审查Ognl清静加固的一些转变，详细如下图：
主要是黑名单上又添加了一些类，划分是：
class
ognl.DefaultMemberAccess
class com.opensymphony.xwork2.ognl.SecurityMemberAccess
class java.lang.ProcessBuilder
剖析就竣事了，盘算器照旧要弹的，如下图：
防护计划下载
Apache Struts2 远程代码执行误差（S2-057） 手艺剖析与防护计划
