据小编所知，Apache Struct2 已经爆出5个严重的漏洞。当时也是搞得鸡犬不宁、满城风雨。。最近一次是今年4月份的S2-032..那个时候国内大批企业都中招了。。尤其是银行基本被血洗。。。

历数Apache Struct2 各严重漏洞如下：

1、S2－005     CVE－2010-1870

2、S2－009CVE－2011-3923

3、S2－012CVE－2013-1965

4、S2－016CVE－2013-2251

5、S2－032CVE－2016-3081

Struct2 综合利用工具如下（旧的）：

而现在爆出了S2-033，CVE号为CVE－2016-3087

Apache Software Foundation在2016年6月2日公布S2-033漏洞，呼吁尽快更新

Apache Struct 2 已经出了新版本

Apache 报告

S2-033 Remote Code Execution can be performed when using REST Plugin with ! operator when Dynamic Method Invocation is enabled.

官方通告

漏洞概要

对象ApacheStruts2

CVECVE-2016-3087

影响RCE

重要度High

PoCPoC在6月3号前尚未确认

CVSS(v3)4.3(Base) at Cisco

6.8 (base) at Redhat

发现者Alvaro Munoz(@pwntester)

漏洞报告：

2016/05/31CVE-2016-3087 - Red Hat Customer Portal

2016/06/02【预警通告】Struts2再爆远程代码执行漏洞（S2-033）

2016/06/02Struts2远程代码执行漏洞（S2-033）技术分析与防护方案

漏洞原因

It is possible to pass a malicious expression which can be used to execute arbitrary code on server side when Dynamic Method Invocation is enabled when using the REST Plugin.

（在DMI开启并同时使用REST插件的情况下，传送过来的字符可能会让服务器执行任意代码）

影响范围：

受影响的Apache Struts。

2.3.20 ～ 2.3.28（2.3.20.3、2.3.24.3除外。）

攻击前提条件：启用DMI

http://struts.apache.org/docs/strutsproperties.html

在struts.xml禁用DMI：

struts.enable.DynamicMethodInvocation = false

对策

更新，或禁用DMI

2016年4月S2-032受影响的版本，这次也会受影响。

升级至以下版本。

2.3.20.3

2.3.24.3

2.3.28.1

http://struts.apache.org/download.cgi

禁用DMI设置：

在struts.xml 确认这一行，将true改为false

struts.enable.DynamicMethodInvocation = false

S02-033的POC还又流出，所以管理员们还是赶紧滴该干嘛干嘛吧。红色预警哦哦。

参考文章：

https://struts.apache.org/docs/s2-033.html

https://struts.apache.org/docs/

http://d.hatena.ne.jp/Kango/20160603/1464946819

https://struts.apache.org/docs/s2-033.html

－－－END

文章中涉及到Struct2的漏洞利用工具，也是管理员自检的好东西哦。。不过不是最新的罢了，乌云那里有，自己去看吧：

http://drops.wooyun.org/papers/902

eg：嗯...还有，上次欠大家的读取Chrome密码的 ChromePass的使用方法下周写哈。敬请关注

据小编所知，Apache Struct2 已经爆出5个严重的漏洞。当时也是搞得鸡犬不宁、满城风雨。。最近一次是今年4月份的S2-032..那个时候国内大批企业都中招了。。尤其是银行基本被血洗。。。