九游老哥云
Struts框架S2-056误差预警
2018-03-28
一. 误差概述
S2-056误差爆发于Apache Struts2的REST插件 ，当使用XStream组件对XML名堂的数据包举行反序列化操作 ，且未对数据内容举行有用验证时 ，攻击者可通过提交恶意XML数据对应用举行远程DoS攻击。
官方通告如下：
https://cwiki.apache.org/confluence/display/WW/S2-056
受影响的版本
Struts 2.1.1 - Struts 2.5.14.1
不受影响的版本
Struts 2.5.16
三. 解决建议
Apache Struts官方在新版本2.5.16版本中针对S2-056误差举行了防护 ，建议应用Apache Struts2 REST插件的用户排查框架版本是否受误差影响 ，实时升级框架并替换XML剖析器为Jackson XML处置惩罚类JacksonXmlHandler。
1．登录到官网的下载页面 ，下载Apache Struts 2.5.16 ，并升级应用框架：
http://struts.apache.org/download.cgi
2．除Struts 2框架依赖包外 ，还需要引入Jackson组件的相关依赖包 ，如：
|
|
3.在应用系统的struts.xml设置文件中设置xml剖析器为Struts 2.5.16版本提供的JacksonXmlHandler类。示例如下：
|
|
然后设置struts.properties文件中 ，使自界说的xml处置惩罚器笼罩框架默认剖析器。示例如下：
|
struts.rest.handlerOverride.xml=myXml |
四. 声 明
本清静通告仅用来形貌可能保存的清静问题 ，九游老哥科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失 ，均由使用者自己认真 ，九游老哥科技以及清静通告作者不为此肩负任何责任。
九游老哥科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告 ，必需包管此清静通告的完整性 ，包括版权声明等所有内容。未经九游老哥科技允许 ，不得恣意修改或者增减此清静通告内容 ，不得以任何方法将其用于商业目的。
