Struts2 showcase 원격코드실행 취약점（S2-048) 발견!

취약점 개요

Struts2에 Struts1 플러그인을 활성화 한 상황에서, 공격자는 악성 텍스트값을 이용하여 원격코드실행을 할 수 있습니다. 이는 신뢰할 수 없는 입력 데이터에 ActionMessage와 같은 잘못된 정보가 포함되어 발생하는 오류입니다.

취약점 번호

CVE-2017-9791

S2-048

영향받는 버전

Struts 1 Plugin과 Struts 1 action을 사용하는 Struts 2.3.x

해결방법

1) Struts2-struts1-plugin 비활성화

2) showcase.war 사용금지

3) resource keys를 이용하여 원본 메세지를 직접 ActionMessage로 전송하는 방식을 대체

messages.add("msg", new ActionMessage("struts1.gangsterAdded", gform.getName()));

* 다음과 같은 방식은 사용하지 않음

messages.add("msg", new ActionMessage("Gangster " + gform.getName() + " was added"));

참고 : 

https://cwiki.apache.org/confluence/display/WW/S2-048