Apache Axis 远程代码执行缝隙安全公告
颁布功夫 2019-04-12缝隙编号和级别
CVE编号：CVE-2019-0227 ，危险级别：高危 ，CVSS分值：官方未评定
受影响的版本
Apache Axis Version = 1.4
不受影响版本
Apache Axis2 所有版本（目前临时没有发现Axis2的服务存在表联景象）
缝隙概述
Apache Axis是美国阿帕奇（Apache）软件基金会的一个开源、基于XML的Web服务架构 。该产品蕴含了Java和C++说话实现的SOAP服务器 ，以及各类公用服务及API ，以天生和部署Web服务利用 。
Axis附带的默认服务StockQuoteService.jws蕴含一个硬编码的HTTP URL ，可用于触发HTTP要求 。攻击者能够通过域名（www.xmltoday.com）收受或者通过ARP糊弄服务器从而执行MITM攻击 ，并将HTTP要求沉定向到恶意Web服务器 ，在Apache Axis服务器上远程执行代码（CVE-2019-0227） 。
目前为了预防域名www.xmltoday.com被恶意攻击者利用 ，已经有白帽子将其采办 。
缝隙验证
POC：https://github.com/RhinoSecurityLabs/CVEs/tree/master/CVE-2019-0227 。
查看Axis源中的XMLutils ，能够看到“setInstanceFollowRedirects”属性设置为“true” 。这证实了“XMLUtils.newDocument”现实上会遵循沉定向 。
占有此域并不是滥用“StockQuoteService.jws”或来自Axis服务器的任何其他HTTP要求的唯一步骤 。由于要求是通过HTTP进行的 ，这意味着若是您与Axis服务器位于统一网络上 ，则能够执行针对该服务器的中央人攻击 ，而后使用“StockQuoteService.jws”触发器或期待HTTP要求并再次将此要求沉定向到localhost以利用SSRF技巧 。利用它的步骤如下：ARP中毒指标Axis服务器 。
将任何HTTP流量沉定向到您自己的Web服务器 。
沉定向到特造的localhost URL ，该URL在Axis中启动服务 。
触发HTTP要求以沉定向要求“StockQuoteService.jws” 。
建复建议
确保在Axis或Axis2中运行的任何库或服务不存在表联的HTTP/HTTPS要求 。
Apache Axis2的下载地址为：
http://axis.apache.org/axis2/java/core/download.html
参考链接
京公网安备11010802024551号