Struts2 REST插件远程执行命令漏洞全面分析，WAF支持检测防御-低调大师

Struts2 REST插件远程执行命令漏洞全面分析，WAF支持检测防御

2017-09-07 583

漏洞概述

2017年9月5日，Apache Struts 2官方发布一个严重级别的安全漏洞公告，该漏洞由国外安全研究组织lgtm.com的安全研究人员发现，漏洞编号为CVE-2017-9805（S2-052）。

在一定条件下，攻击者可以利用该漏洞远程发送精心构造的恶意数据包，获取业务数据或服务器权限，存在高安全风险。

漏洞基本信息

当Struts2使用REST插件使用XStream的实例xstreamhandler处理反序列化XML有效载荷时没有进行任何过滤，可以导致远程执行代码，攻击者可以利用该漏洞构造恶意的XML内容获取服务器权限。

利用条件：使用REST插件并在受影响版本范围内。
利用方式：攻击者构建恶意数据包远程利用。

漏洞影响范围:

Struts 2.3.x全系版本(根据实际测试，2.3版本也存在该漏洞)

Struts 2.5 - S

微信关注我们

原文链接：https://yq.aliyun.com/articles/199744

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

混改后联通发力行业云运营商开始混战云计算

行业云非简单的“行业+云” 除开公有云和私有云，行业云算得上是国内特有的云形态。据悉，行业云主要聚焦于垂直行业、输出行业信息，并助行业信息互通、资源共享。不过，上海联通方面表示，行业云并非简单的“行业+云”的组合，而是技术和应用的深度融合、是业务驱动下的行业数字化重构。上海联通副总经理沈可在发表《上海联通行业云白皮书》的演讲中指出，运营商在“万众入云”的时代需要做好三个准备：其一发挥新型网络的优势、其二构建独特的优势、其三寻找合适的切入点。唯有如此，运营商的云才能发挥最大的价值，拥有其特殊的市场竞争力。根据上海联通方面的说法，将通过“开放、弹性、灵活、安全”的云平台、“云网协同、云数一体、安全可靠、合作开放”的云生态体系、与不同行业内的合作伙伴去合作打造行业云解决方案，然后助力各行各业去进行云化实践。找到适合做的市场形成差异化根据国际市场研究机构IDC此前公布的“2016年度中国公有云市场统计数据”显示，2016年，仅在公有云市场上，阿里云占得市场份额是最高，为40.67%；紧随其后的中国电信、腾讯云、金山云分别占的市场份额为8.51%、7.34%、6.02%。毋庸置疑，云...

2017-09-07

604

一场五国领导人、近百家500强企业参加的重量级大会，最需要什么？当然是安全！安全！安全！尤其是在信息爆炸的今天，网络空间的安保已经上升到与实体空间安保同等重要的地位。那么这时候，就需要有非常强大的安全防御“金刚护体”。在积攒了两年十余次重要会议的护航经验后，阿里云最近又成为金砖五国大会的“护花使者”，用一套严谨的智能护航方案，帮助大会实现了金砖会议官网域名服务0安全事件重保网站0业务中断、0安全事件云平台用户网站安全运营0干扰法宝1：智能护航方案是不是觉得很厉害！这可是阿里云先后经过G20、两会、乌镇世界互联网大会、春晚、九三阅兵等重大会议的百般锤炼才修得的正果呢！据说，让阿里云这个“护花使者”备受青睐的是一套神秘“法宝”。它由阿里云近年10余次重要会议护航经验沉淀而出，涵盖事前检测，事中防护，事后复盘整个护航生命周期，能为客户实

2017-09-08

608

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。