Apache Struts URLValidator类拒绝服务漏洞（CVE-2016-4465）

Apache Struts URLValidator类拒绝服务漏洞（CVE-2016-4465）
发布日期：2016-07-04
更新日期：2016-07-05

受影响系统：

Apache Group Struts2 2.5.x < 2.5.1
Apache Group Struts2 2.3.20 - 2.3.28.1

描述：

CVE（CAN） ID: CVE-2016-4465

Struts2 是构建企业级Jave Web应用的可扩展框架。

Apache Struts 2 2.3.20 - 2.3.28.1、2.5.x < 2.5.1版本，URLValidator类存在安全漏洞，远程攻击者在URL字段使用null值，可造成拒绝服务。

<*来源：ASAI Ken tc535mr2

链接：https://struts.apache.org/docs/s2-041.html
*>

建议：

临时解决方法：

如果您不能立刻安装补丁或者升级，NSFOCUS建议您采取以下措施以降低威胁：

* 如下所述，重新定义URLValidator使用的RegEx

< validator type="url">
<param name="fieldName">myHomePage</param>
<param name="urlRegex">^（https？|ftp）:\/\/（（[a-z0-9$_\.\+！\*\"\（\）,;\？&=-]|%[0-9a-f]{2}）+（:（[a-z0-9$_\.\+！\*\"\（\）,;\？&=-]|%[0-9a-f]{2}）+）？@）？（#？）（（（[a-z0-9]\.|[a-z0-9][a-z0-9-]*[a-z0-9]\.）*[a-z][a-z0-9-]*[a-z0-9]|（（\d|[1-9]\d|1\d{2}|2[0-4][0-9]|25[0-5]）\.）{3}（\d|[1-9]\d|1\d{2}|2[0-4][0-9]|25[0-5]））（:\d+）？）（（（\/{0,1}（[a-z0-9$_\.\+！\*\"\（\）,;:@&=-]|%[0-9a-f]{2}）*）*（\？（[a-z0-9$_\.\+！\*\"\（\）,;:@&=-]|%[0-9a-f]{2}）*）？）？）？（#（[a-z0-9$_\.\+！\*\"\（\）,;:@&=-]|%[0-9a-f]{2}）*）？$</param>
<message>Invalid homepage url</message>
< /validator>

厂商补丁：

Apache Group
------------
Apache Group已经为此发布了一个安全公告（S2-041）以及相应补丁:
S2-041：Possible DoS attack when using URLValidator
链接：https://struts.apache.org/docs/s2-041.html

参考链接：https://bugzilla.redhat.com/show_bug.cgi？id=1348253