Apache Struts2 RCE S2-045 - CVE-2017-5638

1. 개요

Struts2 파일 업로드(Jakarta?, Common upload?)를 수행할 때 HTTP Request Header인 Content-Type 값을 변조하여 원격코드를 실행하는 취약점이다.

2. 영향받는 버전

Struts 2.3.5- 2.3.31

Struts 2.5 - 2.5.10

3. 해결 방법

1)

Struts 2.3.32 Upgrade

Struts 2.5.10.1 Upgrade

2)

임시 방법으로 WEB-INF/lib/ 폴더 하위에 commons-fileupload-x.x.x.jar 파일 삭제 

# 파일 삭제시 업로드 기능 안됨.

4. PoC

1) PoC Code 참고

http://blog.csdn.net/nixawk/article/details/60769623

2) Test 환경 (Docker 기반)

+ 취약한 Web 구성

+ PoC Code 활용 취약점 테스트

+ Pcap

5. 탐지 Rule

여기 참고

6. 참고 사이트

http://blog.csdn.net/nixawk/article/details/60769623

https://github.com/Medicean/VulApps/tree/master/s/struts2/s2-045

http://www.freebuf.com/vuls/128668.html

https://cwiki.apache.org/confluence/display/WW/S2-045

실제 취약점 설명은 이미 많이 곳에서 배포된 상태이니 탐지하기 위한 Rule 참조 바랍니다.

이해를 돕고자 최대한 자세하게 적으려고 하였으나 이해 안되는 부분이나, 궁금한 사항은 댓글로 문의 주시면 답변 드리도록 하겠습니다.