Apache Struts2 远程代码执行漏洞（S2-057） 技术分析与防护方案
2018-08-24
综述
北京时间2018年8月22日，Apache官方发布通告公布了Struts2中一个远程代码执行漏洞（CVE-2018-11776，CNVD-2018-15894，CNNVD-201808-740）。该漏洞在两种情况下存在，第一，当xml配置中未设置namespace值，且上层动作配置（action(s) configurations）中未设置或使用通配符namespace值时，可能导致远程代码执行漏洞的发生。第二，使用未设置value和action值的url标签，且上层动作配置中未设置或使用通配符namespace值，同样可能导致远程代码执行。
相关链接如下：https://cwiki.apache.org/confluence/display/WW/S2-057
受影响版本
l Struts 2.3 - 2.3.34
l Struts 2.5 - 2.5.16
不受影响版本
l Struts 2.3.35
l Struts 2.5.17
技术防护方案
版本检测
通过配置文件检测
此漏洞产生于低版本的Struts组件，当应用系统引入相关组件时，将存在被攻击者远程攻击的风险。建议由应用开发人员排查引入组件的版本是否处于受影响范围之内。
查看Maven配置文件pom.xml中关于组件的版本。如：
|
<dependency> <groupId>org.apache.struts</groupId> <artifactId>struts2-core</artifactId> <version>2.5.13</version> </dependency> |
通过组件名检测若红字所示版本在受影响范围内，则请用户尽快升级Struts2至最新版本，以保证长期有效的防护。
Linux系统下可使用以下命令查找当前使用的struts2-core包，通过查看其文件名，判断当前版本。
|
find / -name struts2-core-*.jar |
若红框处版本号在受影响范围内，则请用户尽快升级至最新版本。
官方修复方案
官方已在最新版本中修复了此漏洞，请用户尽快将Struts升级至官方修复版本，2.3.*的用户请升级至2.3.35；2.5.*的用户请升级至2.5.17。下载链接如下所示：
Struts2.3.35:
http://mirrors.hust.edu.cn/apache/struts/2.3.35/struts-2.3.35-all.zip
Struts2.5.17:
http://mirrors.hust.edu.cn/apache/struts/2.5.17/struts-2.5.17-all.zip
临时解决方案
排查所有Struts 2的配置文件，如struts.xml，为没有定义namespace命名空间的package节点添加命名空间配置。
|
<package name="user" namespace="/user" extends="struts-default"> <action name="login"> </action> </package> |
香港正版挂牌防护建议
香港正版挂牌检测类产品与服务
1、 公网资产可使用绿盟云 紧急漏洞在线检测，检测地址如下：
手机端访问地址：
https://cloud.nsfocus.com/megi/holes/hole_struts2_2018_8_23.html
PC端访问地址：
https://cloud.nsfocus.com/#/krosa/views/initcdr/productandservice?service_id=1026
2、内网资产可以使用香港正版挂牌的入侵检测系统(IDS)，远程安全评估系统（RSAS V5、V6）和Web应用漏洞扫描系统（WVSS）进行检测。
l 入侵检测系统（IDS）
http://update.nsfocus.com/update/listIds
l 远程安全评估系统（RSAS V5）
http://update.nsfocus.com/update/listAurora/v/5
l 远程安全评估系统（RSAS V6）
http://update.nsfocus.com/update/listRsasDetail/v/vulweb
l Web应用漏洞扫描系统（WVSS）http://update.nsfocus.com/update/listWvssDetail/v/6/t/plg
通过上述链接，升级至最新版本即可进行检测！
使用香港正版挂牌防护类产品进行防护
l 入侵防护系统（IPS）
http://update.nsfocus.com/update/listIps
l 下一代防火墙系统（NF）
http://update.nsfocus.com/update/listNf
l Web应用防护系统（WAF）
http://update.nsfocus.com/update/wafIndex
通过上述链接，升级至最新版本即可进行防护！
检测防护产品升级包/规则版本号
|
检测产品 |
升级包/规则版本号 |
|
IDS |
5.6.7.732、5.6.8.732、5.6.9.18479、5.6.10.18479 |
|
RSAS V5 web插件包 |
V051758 |
|
RSAS V6 web插件包 |
V6.0R02F00.1004 |
|
WVSS V6 web插件包 |
V6.0R03F00.113 |
|
防护产品 |
升级包/规则版本号 |
|
IPS |
5.6.7.732、5.6.8.732、5.6.9.18479、5.6.10.18479 |
|
NF |
5.6.7.732、6.0.1.732 |
|
WAF |
v6.0.5.1.39591、v6.0.7.0.39590、v6.0.6.1.39589 |
具体配置详见附录
技术分析
补丁对比
如图所示，补丁主要添加了cleanNamespaceName方法，该方法通过白名单的方式来验证namespace是否合法，从官方描述和漏洞修复方式来看，该漏洞应该是一个Ognl的表达式注入漏洞。
动态分析
漏洞发布几个小时之后，漏洞发现作者公布了整个发现过程，并且详细分析了一种漏洞情形：https://lgtm.com/blog/apache_struts_CVE-2018-11776。按照该博客的说法，拉取struts2-showcase项目作为示例，修改struts-actionchaining.xml，具体如下：
|
1. <struts> 2. <package name="actionchaining" extends="struts-default" > 3. <action name="actionChain1" class="org.apache.struts2.showcase.actionchaining.ActionChain1"> 4. <result type="redirectAction"> 5. <param name = "actionName">register2</param> 6. </result> 7. </action> 8. </package> 9. </struts>
|
在这种情况下，所有到actionChain1.action的请求的返回结果都会指向register2，并且执行链会到ServletActionRedirectResult.execute方法中，具体如下：
从上图可以看出，通过namespace字段，污染了tmpLocation字典，并且设置为了预期的执行的PoC，这也是补丁中为什么要净化namespace的原因，继续跟踪namespace的去向执行链会到ServletActionRedirectResult的父类的父类StrutsResultSupport.execute方法中，具体如下图：
这里有个conditionParse方法，这个方式就是使用Ognl表达式来计算数据值，在系统中用得非常多，而且在一些历史漏洞中，也应该由它来背锅，当然最大的锅还是struts官方，每次漏洞出在哪就修在哪，典型的头痛医头，脚痛医脚。方法实现如下图所示：
在这个方法中会使用到TextParseUtil.translateVariables方法，继续跟踪，调用栈进入OgnlTextParser中的evaluate方法首先会判断传入的表达式是否合法，比如是否能找到${}或者%{}对，接着调用evaluator.evaluate求值，求值过程非常复杂，总得来说就是链式执行过程，具体如下调用栈：
从上图也可以看出最顶层就是通过反射的方式来调用ProcessBuilder的构造函数，中间部分就是链式执行过程中牵涉到一些操作。
我们可以看下求值过程中参数的一些情况。来查看Ognl安全加固的一些变化，具体如下图：
主要是黑名单上又添加了一些类，分别是：
class
ognl.DefaultMemberAccess
class com.opensymphony.xwork2.ognl.SecurityMemberAccess
class java.lang.ProcessBuilder
分析就结束了，计算器还是要弹的，如下图：
防护方案下载
Apache Struts2 远程代码执行漏洞（S2-057） 技术分析与防护方案
