Apache Struts URLValidator类拒绝服务漏洞(CVE-2016-4465)
发布日期：2016-07-04
更新日期：2016-07-05
受影响系统：
Apache Group Struts2 2.3.20 - 2.3.28.1
描述：
CVE(CAN) ID: CVE-2016-4465
Struts2 是构建企业级Jave Web应用的可扩展框架。
Apache Struts 2 2.3.20 - 2.3.28.1、2.5.x < 2.5.1版本，URLValidator类存在安全漏洞，远程攻击者在URL字段使用null值，可造成拒绝服务。
<*来源：ASAI Ken tc535mr2
链接：https://struts.apache.org/docs/s2-041.html
*>
建议：
临时解决方法：
如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：
* 如下所述，重新定义URLValidator使用的RegEx
< validator type="url">
<param>myHomePage</param>
<param>^(https?|ftp):\\/\\/(([a-z0-9$_\\.\\+!\\*\\'\\(\\),;\\?&=-]|%[0-9a-f]{2})+(:([a-z0-9$_\\.\\+!\\*\\'\\(\\),;\\?&=-]|%[0-9a-f]{2})+)?@)?(#?)((([a-z0-9]\\.|[a-z0-9][a-z0-9-]*[a-z0-9]\\.)*[a-z][a-z0-9-]*[a-z0-9]|((\\d|[1-9]\\d|1\\d{2}|2[0-4][0-9]|25[0-5])\\.){3}(\\d|[1-9]\\d|1\\d{2}|2[0-4][0-9]|25[0-5]))(:\\d+)?)(((\\/{0,1}([a-z0-9$_\\.\\+!\\*\\'\\(\\),;:@&=-]|%[0-9a-f]{2})*)*(\\?([a-z0-9$_\\.\\+!\\*\\'\\(\\),;:@&=-]|%[0-9a-f]{2})*)?)?)?(#([a-z0-9$_\\.\\+!\\*\\'\\(\\),;:@&=-]|%[0-9a-f]{2})*)?$</param>
<message>Invalid homepage url</message>
< /validator>
厂商补丁：
Apache Group
------------
Apache Group已经为此发布了一个安全公告（S2-041）以及相应补丁:
S2-041：Possible DoS attack when using URLValidator
链接：https://struts.apache.org/docs/s2-041.html
参考链接：https://bugzilla.redhat.com/show_bug.cgi?id=1348253