编码中心
欢迎来稿
当前位置首页 > 科技新闻 > 正文

Struts2爆高危漏洞 补天平台紧急审核确认近千个漏洞

2017-03-08 14:20 来源:中国新闻网

  近日,著名J2EE框架——Struts2被爆存在远程代码执行漏洞, Struts2官方已经确认该漏洞(S2-045),由于Struts2 的使用范围及其广泛,国内外均有大量厂商使用该框架,被定级为高危漏洞。尤其值得注意的是,由于对此漏洞的利用代码已经扩散,对网站安全构成极高的现实威胁。截至3月7日,国内最大的漏洞响应平台补天平台已经收到了白帽子提交的数千个相关漏洞,经过工作人员的通宵审核,目前已有近千个漏洞得到了相关受影响的企业确认反馈。 

  据补天平台负责人白健介绍:“简单来说,攻击者可以通过发送恶意构造的HTTP数据包利用该漏洞,在受影响服务器上执行系统命令,进一步可完全控制该服务器,数据被恶意泄露、网站遭篡改等影响。由于Jakarta解析器安装量巨大,受影响的业务较为严重。” 

  由于对此漏洞的利用代码已经扩散,修复该漏洞变得刻不容缓。白健说:“补天平台陆续收到了数千个白帽子提交的相关漏洞,已经紧急加派人手通宵审核处理,以尽快帮企业确认漏洞情况,提醒企业修复,避免漏洞被不法利用。对于无法联系到企业负责人的,为了避免企业损失,将及时上报监管单位,通知相关企业。截至目前,确认近千个漏洞存在被恶意泄露的风险,并且通报厂商。 

  360企业安全集团相关负责人建议,如果用户使用基于Jakarta的多分片文件上传解析器,强烈建议用户立即升级到Apache Struts 2.3.32 或 2.5.10.1 版本。 

  同时,360天眼(SkyEye)未知威胁感知系统的流量探针已加入对利用此漏洞的攻击检测规则,可以精准地发现相关的攻击并判定是否攻击成功,只需升级天眼未知威胁感知系统到3.0.3.1或以上版本并升级最新的检测规则即可。

  天眼(SkyEye)未知威胁感知系统检测到攻击截图 

  还可通过360网站云监测服务、或360网站智能监控系统检查确认是否爆出该漏洞,从而进行下一步的防御措施。 

  在漏洞爆出的第一时间,360防火墙产品、360WAF及360安域产品均已更新产品识别规则库,将针对该漏洞攻击进行识别和防护。也可通过 “云”+“端”的防护方案对该类型漏洞进行防护,从另一个维度解决问题。将方案通过在将安全保护代码嵌入到运行中的服务器应用程序,通过实时拦截所有的系统调用并确保调用安全,通过与云端防护系统的联动,最终实现应用程序自我保护,同时可为客户提供针对Web系统Web攻击防护、网页防篡改等安全防护能力。通过该方案的实施部署,针对该类型的漏洞可做到无需升级、智能防护,从另一个维度根本解决这类漏洞问题。 

  对于无法确认是否使用受影响的Struts框架、无法自行修复该漏洞的企业, 360企业安全集团专门开通了热线:4008-136-360,将尽力协助完成该漏洞修复。 

(责任编辑:王蔚)

热点推荐

SpaceX今年第7次发射  共向国际空间站运2.63吨物资

SpaceX今年第7次发射 共向国际空间站运2.63吨物资

据国外媒体报道,美国当地时间4月2日,SpaceX已成...

携手世界 为破解人类科学难题贡献中国智慧

携手世界 为破解人类科学难题贡献中国智慧

在蔚蓝的大海中,国际大洋钻探计划正在钻探地球的...

苹果允许用户彻底删除ID 重隐私者得天下

苹果允许用户彻底删除ID 重隐私者得天下

北京时间3月30日,据彭博社报道,苹果公司表示将在...

eSIM时代,运营商的末日还是新生

eSIM时代,运营商的末日还是新生

自近日中国联通宣布在国内首发Apple Watch Series ...

首枚会变色的“心脏芯片”问世

首枚会变色的“心脏芯片”问世

东南大学生物医学工程学院生物电子学国家重点实验...

“科学”号调查麦哲伦海山

“科学”号调查麦哲伦海山

海山是世界海洋生物多样性研究的热点地区。在国家...

别了,“天宫” 你是永远的“一号”

别了,“天宫” 你是永远的“一号”

2011年9月29日,你乘坐长征二号F运载火箭离我们而...