当前位置:WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号:wooyun-2012-010666

漏洞标题:几个中国移动分站的Struts远程命令执行漏洞

相关厂商:中国移动公司

漏洞作者: NoArgs

提交时间:2012-08-07 13:20

修复时间:2012-09-21 13:20

公开时间:2012-09-21 13:20

漏洞类型:系统/服务补丁不及时

危害等级:中

自评Rank:9

漏洞状态:已交由第三方合作机构(cncert国家互联网应急中心)处理

漏洞来源: http://www.wooyun.org,如有疑问或需要帮助请联系 [email protected]

Tags标签:

4人收藏 收藏
分享漏洞:


漏洞详情

披露状态:

2012-08-07: 细节已通知厂商并且等待厂商处理中
2012-08-07: 厂商已经确认,细节仅向厂商公开
2012-08-17: 细节向核心白帽子及相关领域专家公开
2012-08-27: 细节向普通白帽子公开
2012-09-06: 细节向实习白帽子公开
2012-09-21: 细节向公众公开

简要描述:

3个中国移动旗下的网站,都是Struts漏洞,就一起提交了。

详细说明:

Apache Struts2中WebWork框架使用XWork基于HTTP参数名执行操作和调用,为了防范篡改服务器端对象,XWork的ParametersInterceptor不允许参数名中出现“#”字符,但如果使用了Java的unicode字符串表示\u0023,攻击者就可以绕过保护,修改保护Java方式执行的值。进一步可调用java语句来执行任意命令,甚至控制操作系统。
  之前Struts2官方补丁屏蔽了通过\u0023 (16进制的#) 攻击的方式,但仍可以利用\43(8进制的#)实施突破。

漏洞证明:

湖北移动校讯通网站
http://211.137.74.56/xxt/loginAction.action


甘肃移动客户行业应用门户
http://218.203.214.57:8080/ADC20/sys/Logout.action


中国移动手机对讲门户
http://poc.10086.cn/Provisioning/action/toWap.action

修复方案:

升级Struts到2.2.3.1及以上版本。

版权声明:转载请注明来源 NoArgs@乌云


漏洞回应

厂商回应:

危害等级:中

漏洞Rank:9

确认时间:2012-08-07 13:59

厂商回复:

CNVD确认漏洞情况,已转由CNCERT协调中国移动集团公司处置。
目前看,部分行业如:税务、电信、证券、金融等已经根据近两个月来CNCERT预警情况,发布了内部单位的统一预警,一些行业也在内部单位统一对struts进行了升级。不过仍然有一些漏网的系统,白帽子后续发现的事件对各行业系统防护有着重要的作用。
按通用软件漏洞进行评分,rank 9

最新状态:

暂无


漏洞评价:

评论

  1. 2012-09-21 14:12 | Vty ( 普通白帽子 | Rank:199 漏洞数:37 )

    不是早就提交了,我擦,还能这样