Apache Struts2 S2-045 漏洞 (CVE-2017-5638)

Struts2 S2-045 漏洞 (CVE-2017-5638)

S2-045的漏洞可以導致網站資料外洩、被植入木馬程式等風險

影響範圍：Struts 2.3.5 - Struts 2.3.31, Struts 2.5 - Struts 2.5.10
建議升級：Struts 2.3.32 或 Struts 2.5.10.1

Struts使用的Jakarta解析文件上傳請求包不當，當遠程攻擊者構造惡意的Content-Type，可能導致遠程命令執行。

實際上在default.properties文件中，struts.multipart.parser的值有兩個選擇，
分別是jakarta和pell（另外原本其實也有第三種選擇cos）。

其中的jakarta是Struts 2框架的標準組成部分。默認情況下jakarta是啟用的，
所以該漏洞的嚴重性需要得到正視。

【漏洞預警】Apache Struts2 曝任意代碼執行漏洞(S2-045,CVE-2017-5638)
http://www.freebuf.com/vuls/128668.html

Apache S2-045
https://cwiki.apache.org/confluence/display/WW/S2-045

str2-045漏洞指南【附有POC和EXP】
http://bbs.ichunqiu.com/thread-19964-1-1.html

傳說中的s2-045利用工具來了
http://bbs.ichunqiu.com/thread-19963-1-1.html

pip install poster poc和exp源碼
http://bbs.ichunqiu.com/thread-19964-1-1.html

Apache Struts2再度爆發高風險漏洞，HITCON Zeroday通報：已有臺灣金融業者受駭
http://www.ithome.com.tw/news/112591

str2-045漏洞的加固方案
http://bbs.ichunqiu.com/thread-19971-1-1.html

Strurs2又現高危漏洞（附Poc&Exp）
http://www.ijiandao.com/safe/cto/46798.html

S2-045 原理初步分析（CVE-2017-5638）
http://paper.seebug.org/241/

關於Apache Struts2存在S2-045遠程代碼執行漏洞的安全公告
http://www.cnvd.org.cn/webinfo/show/4080