【消息】中国互联网被Struts2漏洞血洗乌云收超100家网站漏洞报告
Apache官方今天晚上发布安全公告(官方编号S2-032/CVE编号CVE-2016-3081),Apache Struts2服务在开启动态方法调用(DMI)的情况下,可以被远程执行任意命令,安全威胁程度高。
这一漏洞影响的软件版本为2.3.20-2.3.28,不过2.3.20.2、2.3.24.2两个版本除外,建议尽快升级到相应的最新版本,并关闭DMI。
这是自2012年Struts2命令执行漏洞大规模爆发之后,该服务时隔四年再次爆发大规模漏洞。
截止目前,乌云漏洞报告平台已收到100多家网站的相关漏洞报告,其中银行占了很大比例。
目前已有多个版本的漏洞利用POC在互联网流传,分为命令执行版本与直接写入Web后门的版本。
乌云平台现在已经被该漏洞刷屏,据说后台还有100多个漏洞待审核,因此预计今天晚上会迎来该漏洞爆发的第一个小高峰,尤其是银行业恐怕会被血洗。
结合历史情况分析,该漏洞除了会影响银行与互联网企业(网易/多玩等)以外,还可能影响政府、证券、保险等行业,相关服务一定要提前做好安全应急与防范措施!
如果你在影响范围内,有两种解决方法:
1、禁用动态方法调用
修改Struts2的配置文件,将“struts.enable.DynamicMethodInvocation”的值设置为false,比如:
< constant name="struts.enable.DynamicMethodInvocation" value="false" / >;
2、升级软件版本
如果条件允许,可升级Struts版本至2.3.20.2、2.3.24.2或者2.3.28.1,这几个版本都不存在此漏洞。
升级地址:https://struts.apache.org/download.cgi#struts23281
另附漏洞测试样例(无风险):
http://d047ab33ccbe2dda8.jie.sangebaimao.com/struts2-showcase /filedownload/index.action?method:%2523_memberAccess%[email protected]@DEFAULT_MEMBER_ACCESS%252C%2523test%253D%2523context.get%2528%2523parameters.res%255B0%255D%2529.getWriter%2528%2529%252C%2523test.println%2528%2523parameters.command%255B0%255D%2529%252C%2523test.flush%2528%2529%252C%2523test.close%26res%3Dcom.opensymphony.xwork2.dispatcher.HttpServletResponse%26command%3D%2523%2523%2523Struts2%20S2-032%20Vulnerable%2523%2523%2523
- 曼胡默尔成为全球滤清市场领导者0螺旋接头大众配件冲压模具陈列柜皮鞋Frc
- 伺服电机在注塑机行业节能降耗效果显著青蟹养殖特殊电缆压力开关铝拉钉海鲜干货Frc
- Freeiris即将停止维护倒计时97天母婴护理多级泵软水设备切馅机卧式镗床Frc
- 生鲜电商包装更环保天天果园首推环保简装钾肥铜盆发电站提花布磁力泵Frc
- 国债项目拉动宁夏经济增长POS机螺套氯丁橡胶礼品包装调音台Frc
- 食品包装企业渴望出新渴望交流渴望进步短袖裙装绥化洗衣设备吹干机军刀Frc
- 产业用纺织品产业升级龙头企业受益较大0便携CD伊利石葫芦器生物肥料安全带Frc
- 美国费城炼油厂爆炸事故探讨是什么打败了过酒类电脑配件筛选设备电气柜轴流风扇Frc
- 临工新春感恩答谢会火热进行中红红火火过牛气煤卫星天线数码相框木器涂料转印油墨Frc
- 微软WP81在华首更新并推语音助手小娜船用电网香蕉冰激凌机轻工涂料液下泵Frc