Apache Axis 远程代码执行缝隙安全公告
颁布功夫 2019-04-12缝隙编号和级别
CVE编号：CVE-2019-0227，，，，，，危险级别：高危，，，，，，CVSS分值：官方未评定
受影响的版本
Apache Axis Version = 1.4
不受影响版本
Apache Axis2 所有版本（目前临时没有发现Axis2的服务存在表联景象）
缝隙概述
Apache Axis是美国阿帕奇（Apache）软件基金会的一个开源、基于XML的Web服务架构。。。。 。。。。该产品蕴含了Java和C++说话实现的SOAP服务器，，，，，，以及各类公用服务及API，，，，，，以天生和部署Web服务利用。。。。 。。。。
Axis附带的默认服务StockQuoteService.jws蕴含一个硬编码的HTTP URL，，，，，，可用于触发HTTP要求。。。。 。。。。攻击者能够通过域名（www.xmltoday.com）收受或者通过ARP糊弄服务器从而执行MITM攻击，，，，，，并将HTTP要求沉定向到恶意Web服务器，，，，，，在Apache Axis服务器上远程执行代码（CVE-2019-0227）。。。。 。。。。
目前为了预防域名www.xmltoday.com被恶意攻击者利用，，，，，，已经有白帽子将其采办。。。。 。。。。
缝隙验证
POC：https://github.com/RhinoSecurityLabs/CVEs/tree/master/CVE-2019-0227。。。。 。。。。
查看Axis源中的XMLutils，，，，，，能够看到“setInstanceFollowRedirects”属性设置为“true”。。。。 。。。。这证实了“XMLUtils.newDocument”现实上会遵循沉定向。。。。 。。。。
占有此域并不是滥用“StockQuoteService.jws”或来自Axis服务器的任何其他HTTP要求的唯一步骤。。。。 。。。。由于要求是通过HTTP进行的，，，，，，这意味着若是您与Axis服务器位于统一网络上，，，，，，则能够执行针对该服务器的中央人攻击，，，，，，而后使用“StockQuoteService.jws”触发器或期待HTTP要求并再次将此要求沉定向到localhost以利用SSRF技巧。。。。 。。。。利用它的步骤如下：ARP中毒指标Axis服务器。。。。 。。。。
将任何HTTP流量沉定向到您自己的Web服务器。。。。 。。。。
沉定向到特造的localhost URL，，，，，，该URL在Axis中启动服务。。。。 。。。。
触发HTTP要求以沉定向要求“StockQuoteService.jws”。。。。 。。。。
建复建议
确保在Axis或Axis2中运行的任何库或服务不存在表联的HTTP/HTTPS要求。。。。 。。。。
Apache Axis2的下载地址为：
http://axis.apache.org/axis2/java/core/download.html
参考链接
京公网安备11010802024551号