Apache Struts 2 の脆弱性「CVE-2017-9791」について

Question

■質問
CVE-2017-9791は、Apache Struts 2 の「Object Graph Navigation Language（OGNL）式」を利用して RCE が可能になる脆弱性そうですが、
そのexploitコードには必ず、@ognl.OgnlContext@DEFAULT_MEMBER_ACCESSの文字列は含まれてるのでしょうか。
ognl.OgnlContext@DEFAULT_MEMBER_ACCESがなければ、クラスやメソッド(Actionクラス)にアクセスできないので、必ず@ognl.OgnlContext@DEFAULT_MEMBER_ACCESSの文字列が必要だ思っていますが、自信がないので質問させて頂きました。

■参考URL
http://blog.trendmicro.co.jp/archives/15425

Answer 1

必ず入り込むかと言えば「いいえ」です。他の理由でDEFAULT_MEMBER_ACCESSを許可された場合には不要です。
なお、S2-048が発動する原因は、Struts2内部からのOGNLの利用方法が引き起こす問題なのですが、より根本的な問題として、ActionMessageを設定する際に、

messages.add("msg", new ActionMessage("Gangster " + gform.getName() + " was added"));

と、メッセージの値に直接入力値を混ぜ込んだ文字列にしてしまうと、 そのままの値をOGNL経由で実行してしまう 問題があります。

ちなみに問題となったStruts2-Struts1プラグインはデフォルトでは使用されず、またStruts2.1以降では動作はしますが、非推奨のプラグインであり、Struts2.5系では排除されています。

Comments

[ahodana]

発生したのが（申告されたのが）struts2-struts-pluginであって struts2-core単体で実行できますよ。

[A-pZ]

おー、指摘ありがとうございます～。

でもこのメッセージ指定方法している作りが何というか…ですが、作りえるのはマズイですね。

[退会済みユーザー]

A-pZ様

ご回答ありがとうございます。
大変わかりやすかったです。

@ognl.OgnlContext@なくても、CVE-2017-9791のエクスプロイトを成立する可能性があるとうことですね。バージョンによると思いますが、DEFAULT_MEMBER_ACCESSのデフォルト値は許可なのでしょうか。