安全预警 - 华为产品存在Apache Struts2远程代码执行安全漏洞

AnyOffice:

场景1：AnyOffice部署在Linux环境中

1. 以anyofficeuser用户登录SC (Service Controller)服务器，并进入相关目录：

cd /usr/local/anyoffice/sc/mdmserver/webapps/MDMServer/WEB-INF

2. 备份web.xml文件：

cp web.xml web.xml.bak

3.修改配置文件web.xml并保存

a.将以下代码注释掉

<!--

<filter-mapping>

<filter-name>struts2</filter-name>

<url-pattern>/*</url-pattern>

</filter-mapping>

-->

b.在注释掉的代码后增加如下代码

<filter-mapping>

<filter-name>struts2</filter-name>

<url-pattern>/aeResponseAction!getCert.action</url-pattern>

</filter-mapping>

<filter-mapping>

<filter-name>struts2</filter-name>

<url-pattern>/aeOnlineCheckAction!checkOnLine.action</url-pattern>

</filter-mapping>

c. 保存web.xml文件

4.重新启动MDM服务

cd /usr/local/anyoffice/sc/mdmserver

sh ServerStop.sh

sh ServerStart.sh

场景2：AnyOffice部署在Windows环境中

1. 以Administrator用户登录SC服务器，并进入如下目录：

C:Program FilesAnyOfficescmdmserverwebappsMDMServerWEB-INF

2. 备份web.xml文件为web.xml.bak

3.修改配置文件web.xml并保存

a.将以下代码注释掉

<!--

<filter-mapping>

<filter-name>struts2</filter-name>

<url-pattern>/*</url-pattern>

</filter-mapping>

-->

b.在注释掉的代码后增加如下代码

<filter-mapping>

<filter-name>struts2</filter-name>

<url-pattern>/aeResponseAction!getCert.action</url-pattern>

</filter-mapping>

<filter-mapping>

<filter-name>struts2</filter-name>

<url-pattern>/aeOnlineCheckAction!checkOnLine.action</url-pattern>

</filter-mapping>

c. 保存web.xml文件

4. 进入“服务”界面，重启MDM_Service组件服务

OMP9360:

场景1：应用的是OMP9360 V100R001C10版本

在OMP9360 Portal 服务器上

1. 进入如下目录

/home/ompptlapp/tomcat/webapps/omp/WEB-INF/classes/conf/i18n/

2. 在文件messages_en_US.properties和文件messages_zh_CN.properties中增加如下信息：

struts.messages.upload.error.InvalidContentTypeException=1

3. 执行如下命令重启相关进程

su ompptlapp -c "stopapp;startapp;"

4. 进入如下目录

/home/ompcslapp/tomcat/webapps/ompconsole/WEB-INF/classes/conf/i18n/

5. 在文件messages_en_US.properties和文件messages_zh_CN.properties中增加如下信息：

struts.messages.upload.error.InvalidContentTypeException=1

6. 执行如下命令重启相关进程

su ompcslapp -c "stopapp;startapp;"

在OMP9360 analysis服务器上

1. 进入如下目录

/opt/hwomp/tomcat/webapps/ROOT/WEB-INF/classes

2. 在文件messages_en_US.properties和文件messages_zh_CN.properties中增加如下信息

struts.messages.upload.error.InvalidContentTypeException=1

在OMP9360 Adapter API服务器上

1. 进入如下目录

/opt/hwomp/adapter/tomcat/webapps/OMP_Adapter/WEB-INF/classes

2. 在文件struts.xml的以下位置增加信息：

…

<constant name="struts.objectFactory" value="org.apache.struts2.spring.StrutsSpringObjectFactory" />

<constant name="struts.custom.i18n.resources" value="global" />  #增加的信息

<package name="Login" extends="struts-default">

…

3. 进入如下目录

/opt/hwomp/adapter/tomcat/webapps/OMP_Adapter/WEB-INF/classes

4. 创建空白文件global.properties，并在文件中写入如下信息：

struts.messages.upload.error.InvalidContentTypeException=1

5. 执行如下命令修改文件属性：

chown hwomp:hwomp global.properties

chmod 644 global.properties

6. 重启相关进程令修改生效：

cd /opt/hacs/bin/

./stop.sh

./start.sh

场景2：应用的是OMP9360 V100R001C20或OMP9360 V100R001C30版本

在OMP9360 analysis服务器上

1. 进入如下目录

/opt/OMP9360/workshop/webpmu/analysis/ROOT/WEB-INF/classes/

2. 在文件messageResources_en_US.properties和文件messageResources_zh_CN.properties中增加如下信息

struts.messages.upload.error.InvalidContentTypeException=1

客户可以部署华为NGFW(下一代防火墙)或者数据中心防火墙产品，并升级IPS特征库至2017年03月07日发布的最新版本(IPS_H20011000_2017030703)以检测和防护该漏洞攻击。

用户可以通过华为TAC (Huawei Technical Assistance Center)获取补丁/更新版本。

TAC的联系方式见链接http://www.huawei.com/cn/psirt/report-vulnerabilities。

2021-01-13 V1.4 UPDATED 刷新受影响产品版本和修复信息;
2020-06-24 V1.3 UPDATED 刷新受影响产品版本和修复信息;
2017-04-20 V1.2 UPDATED 添加CVE ID(CVE-2017-5638);刷新受影响产品版本和修复信息;
2017-03-18 V1.1 UPDATED 刷新受影响产品版本和修复信息;刷新临时措施;
2017-03-16 V1.0 INITIAL

无

华为一贯主张尽全力保障产品用户的最终利益，遵循负责任的安全事件披露原则，并通过产品安全问题处理机制处理产品安全问题。

获取华为公司安全应急响应服务及华为产品漏洞信息，请访问http://www.huawei.com/cn/psirt。
反馈华为产品和解决方案安全问题,请反馈至华为PSIRT邮箱PSIRT@huawei.com，详情参考http://www.huawei.com/cn/psirt/report-vulnerabilities。