漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2012-010666
漏洞标题：几个中国移动分站的Struts远程命令执行漏洞
相关厂商：中国移动公司
漏洞作者： NoArgs
提交时间：2012-08-07 13:20
修复时间：2012-09-21 13:20
公开时间：2012-09-21 13:20
漏洞类型：系统/服务补丁不及时
危害等级：中
自评Rank：9
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2012-08-07： 细节已通知厂商并且等待厂商处理中
2012-08-07： 厂商已经确认，细节仅向厂商公开
2012-08-17： 细节向核心白帽子及相关领域专家公开
2012-08-27： 细节向普通白帽子公开
2012-09-06： 细节向实习白帽子公开
2012-09-21： 细节向公众公开
简要描述：
3个中国移动旗下的网站，都是Struts漏洞，就一起提交了。
详细说明：
Apache Struts2中WebWork框架使用XWork基于HTTP参数名执行操作和调用，为了防范篡改服务器端对象，XWork的ParametersInterceptor不允许参数名中出现“#”字符，但如果使用了Java的unicode字符串表示\u0023，攻击者就可以绕过保护，修改保护Java方式执行的值。进一步可调用java语句来执行任意命令，甚至控制操作系统。
之前Struts2官方补丁屏蔽了通过\u0023 (16进制的#) 攻击的方式，但仍可以利用\43(8进制的#)实施突破。
漏洞证明：
湖北移动校讯通网站
http://211.137.74.56/xxt/loginAction.action
甘肃移动客户行业应用门户
http://218.203.214.57:8080/ADC20/sys/Logout.action
中国移动手机对讲门户
http://poc.10086.cn/Provisioning/action/toWap.action
修复方案：
升级Struts到2.2.3.1及以上版本。
版权声明：转载请注明来源 NoArgs@乌云
漏洞回应
厂商回应：
危害等级：中
漏洞Rank：9
确认时间：2012-08-07 13:59
厂商回复：
CNVD确认漏洞情况，已转由CNCERT协调中国移动集团公司处置。
目前看，部分行业如：税务、电信、证券、金融等已经根据近两个月来CNCERT预警情况，发布了内部单位的统一预警，一些行业也在内部单位统一对struts进行了升级。不过仍然有一些漏网的系统，白帽子后续发现的事件对各行业系统防护有着重要的作用。
按通用软件漏洞进行评分，rank 9
最新状态：
暂无