總機(jī)：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號(hào)信源大廈3206-3211室 郵編：510660
安全公告編號(hào):CNTA-2016-0020
4月底，Apache Struts2 S2-032遠(yuǎn)程代碼執(zhí)行漏洞（CNVD-2016-02506，CVE-2016-3081，以下簡(jiǎn)稱S2-032漏洞 ）的利用代碼被披露并在短時(shí)間內(nèi)迅速傳播。CNVD秘書處——國(guó)家互聯(lián)網(wǎng)應(yīng)急中心（CNCERT）組織CNVD成員單位和合作伙伴對(duì)漏洞攻擊威脅進(jìn)行監(jiān)測(cè)并開展了應(yīng)急處置工作，現(xiàn)將有關(guān)情況通報(bào)如下：
一、攻擊威脅監(jiān)測(cè)情況
根據(jù)CNCERT在互聯(lián)網(wǎng)上的監(jiān)測(cè)結(jié)果，近一周來（4月30日00:00至5月6日16:00），互聯(lián)網(wǎng)上針對(duì)該漏洞的攻擊和掃描嘗試保持在高位狀態(tài)。盡管后續(xù)評(píng)估認(rèn)為本次S2-032漏洞較以往S2-016漏洞的檢出率要低得多，但針對(duì)特定目標(biāo)的搜尋（如：利用搜索引擎查找.action頁(yè)面）以及后續(xù)的攻擊掃描仍然在黑客地下產(chǎn)業(yè)或網(wǎng)絡(luò)安全從業(yè)者中持續(xù)進(jìn)行。從CNCERT近期監(jiān)測(cè)到的后門事件數(shù)量看，近一周被境內(nèi)被植入后門的網(wǎng)站數(shù)量出現(xiàn)激增，暫不排除與S2-032漏洞攻擊的關(guān)聯(lián)可能性。
圖 近一周S2-032攻擊和掃描次數(shù)監(jiān)測(cè)統(tǒng)計(jì)（來源：CNCERT）
圖 近一個(gè)月境內(nèi)網(wǎng)站被植入后門數(shù)量統(tǒng)計(jì)（來源：CNCERT）
根據(jù)CNVD技術(shù)組成員單位——上海交通大學(xué)網(wǎng)絡(luò)信息中心在教育網(wǎng)內(nèi)的抽樣檢測(cè)結(jié)果，對(duì)706個(gè)采用Apache Struts 2作為容器軟件的網(wǎng)站進(jìn)行測(cè)試，有29個(gè)網(wǎng)站存在S2-032漏洞，占比4.1%，而存在S2-016及更低版本遠(yuǎn)程代碼執(zhí)行漏洞（如：S2-005）的網(wǎng)站有196個(gè)，占比28%。為進(jìn)一步評(píng)估S2-032漏洞在各行業(yè)領(lǐng)域單位網(wǎng)站的分布情況，CNVD委托WOOYUN平臺(tái)對(duì)相關(guān)數(shù)據(jù)進(jìn)行檢測(cè)和整理，如下表所示，境內(nèi)共有817個(gè)網(wǎng)站存在S2-032漏洞，其中按行業(yè)領(lǐng)域劃分，位于前三位(注：不計(jì)其他企業(yè))的是政府部門（占比28.3%）、互聯(lián)網(wǎng)企業(yè)（25.3%）、教育機(jī)構(gòu)（9.8%）。
| 行業(yè)領(lǐng)域 | 數(shù)量 | 百分比 |
|---|---|---|
| 政府部門 | 231 | 28.3% |
| 教育機(jī)構(gòu) | 80 | 9.8% |
| 金融行業(yè) | 57 | 7.0% |
| 保險(xiǎn)行業(yè) | 15 | 1.8% |
| 證券行業(yè) | 7 | 0.9% |
| 能源行業(yè) | 4 | 0.5% |
| 交通行業(yè) | 48 | 5.9% |
| 電信運(yùn)營(yíng)商 | 59 | 7.2% |
| 互聯(lián)網(wǎng)企業(yè) | 206 | 25.2% |
| 其他企業(yè) | 110 | 13.5% |
| 總計(jì) | 817 | 100.0% |
二、應(yīng)急處置情況
4月27日，CNVD組織成員單位開展漏洞應(yīng)急相關(guān)工作，相關(guān)單位工作反饋情況如下表所示。至5月6日，各成員單位共計(jì)向CNVD反饋累計(jì)超過230個(gè)受漏洞影響的黨政機(jī)關(guān)和重要行業(yè)單位網(wǎng)站，其中奇虎360、安恒信息、深信服科技反饋數(shù)量位居前三。此外。根據(jù)深信服科技在用戶側(cè)的攻擊監(jiān)測(cè)情況，針對(duì)S2-032漏洞的攻擊行為同時(shí)也伴隨著針對(duì)以往Apache Struts 2高危漏洞（如：S2-016）的同步攻擊嘗試。
| 成員單位 | 漏洞分析 | 檢測(cè)普查 | 攻擊監(jiān)測(cè) |
|---|---|---|---|
| 安恒信息 | √ | √ | - |
| 深信服科技 | √ | √ | √ |
| 綠盟科技 | √ | - | - |
| 奇虎360 | √ | √ | - |
| 恒安嘉新 | √ | √ | - |
| 安天科技 | √ | √ | - |
| 天融信 | √ | √ | - |
| 華三公司 | - | √ | - |
| 上海交通大學(xué) | - | √ | - |
根據(jù)各方匯總結(jié)果，CNVD依托CNCERT國(guó)家中心和分中心渠道在近一周內(nèi)共處置346起涉及黨政機(jī)關(guān)和重要行業(yè)單位網(wǎng)站的S2-032漏洞事件。根據(jù)Wooyun平臺(tái)近日核驗(yàn)結(jié)果，各行業(yè)領(lǐng)域單位在接收到S2-032漏洞風(fēng)險(xiǎn)通報(bào)后的修復(fù)或防護(hù)百分比如下表所示，其中金融、保險(xiǎn)、證券、能源行業(yè)單位修復(fù)或防護(hù)比例為100%：
| 行業(yè)領(lǐng)域 | 修復(fù)或防護(hù)百分比 |
|---|---|
| 政府部門 | 93.7% |
| 教育機(jī)構(gòu) | 96.6% |
| 金融行業(yè) | 100.0% |
| 保險(xiǎn)行業(yè) | 100.0% |
| 證券行業(yè) | 100.0% |
| 能源行業(yè) | 100.0% |
| 交通行業(yè) | 96.7% |
| 電信運(yùn)營(yíng)商 | 95.5% |
| 互聯(lián)網(wǎng)企業(yè) | 94.3% |
| 其他企業(yè) | 93.1% |
三、S2-032漏洞應(yīng)急情況小結(jié)
針對(duì)本次S2-032漏洞的應(yīng)急工作，有如下小結(jié)：
（一）S2-032漏洞由于影響軟件版本和網(wǎng)站配置條件的限制，實(shí)際影響遠(yuǎn)不及以往造成大規(guī)模影響的Java反序列化漏洞以及S2-016、S2-005遠(yuǎn)程代碼執(zhí)行漏洞，但同樣吸引了大量的互聯(lián)網(wǎng)攻擊和掃描嘗試。
（二）漏洞細(xì)節(jié)的披露時(shí)間和方式考驗(yàn)網(wǎng)絡(luò)安全從業(yè)者的行為準(zhǔn)則。盡管從廠商官方發(fā)布漏洞公告至公布利用代碼有約一周時(shí)間，但相對(duì)于國(guó)內(nèi)互聯(lián)網(wǎng)安全發(fā)展水平，漏洞修復(fù)和應(yīng)急時(shí)間仍然較為急促，不適當(dāng)?shù)穆┒醇?xì)節(jié)發(fā)布對(duì)大量互聯(lián)網(wǎng)站造成直接危害，客觀上制造了威脅熱點(diǎn)。
（三）國(guó)內(nèi)網(wǎng)絡(luò)安全監(jiān)管機(jī)構(gòu)和應(yīng)急組織要進(jìn)一步加大漏洞風(fēng)險(xiǎn)的通報(bào)和處置力度，各行業(yè)領(lǐng)域也要不斷提高應(yīng)急響應(yīng)意識(shí)，同時(shí)要積極擴(kuò)大應(yīng)急服務(wù)行業(yè)覆蓋面，加強(qiáng)網(wǎng)絡(luò)邊界防護(hù)以及云防護(hù)技術(shù)的研究和應(yīng)用。
附：參考鏈接：