关于Apache Struts2(S2-052)远程代码执行漏洞的预警通报

接中心技术支持企业绿盟通报，2017年9月5日，Apache Struts发布最新的安全公告，Apache Struts 2.5.x的REST插件存在远程代码执行的高危漏洞，漏洞编号为CVE-2017-9805（S2-052）。漏洞的成因是由于使用XStreamHandler反序列化XStream实例的时候没有任何类型过滤导致远程代码执行。

相关链接如下：

https://cwiki.apache.org/confluence/display/WW/S2-052

影响版本：Struts 2.5 - Struts 2.5.12

修复方案

（一）临时修复方案：1.停止使用REST插件。2.限制服务端扩展类型:

<constant name="struts.action.extension"value="xhtml,,json" />

（二）规避方案：立即升级到Struts 2.5.13。

新版本使用的默认限制策略会导致REST的一些函数停止工作，会对一些业务造成影响，建议使用以下新的接口：

●org.apache.struts2.rest.handler.AllowedClasses

●org.apache.struts2.rest.handler.AllowedClassNames

●org.apache.struts2.rest.handler.XStreamPermissionProvider