京东安全团队揭示Struts2 S2-029漏洞，获官方致谢

"京东安全团队在对Struts2框架的研究中发现并报告了一个重要的安全问题，即S2-029漏洞，该漏洞涉及到OGNL（Object-Graph Navigation Language）表达式的执行，可能导致任意代码执行。尽管Struts2在新版本中引入了OGNL“沙盒”以限制其功能，但安全研究人员Lupin发现“沙盒”的黑名单可以被重置，从而绕过安全防护。此问题在官方确认后被纳入S2-029漏洞的修复范围。Lupin详细解析了Struts2 UI标签通过name属性计算value的过程，揭示了OGNL表达式在两次关键步骤中的执行机制。" Struts2是一个流行的Java Web应用程序框架，它允许开发者使用OGNL来方便地访问和操作对象属性。然而，OGNL的安全性一直是Struts2的一个关注点，因为它可以直接执行代码，如果不受限制，可能导致严重的安全风险。 在描述中提到的S2-029漏洞，最初可能是因为Struts2的新版本中OGNL“沙盒”的设计缺陷。这个“沙盒”原本是为了阻止危险的OGNL表达式执行，但研究人员Lupin发现，它的黑名单配置可以被重置，这就意味着攻击者可能利用这个漏洞，绕过安全控制，执行任意的系统命令。 Lupin详细解释了Struts2 UI标签的工作流程，当name属性不为空时，会触发OGNL表达式的评估。`UIBean`类的`evaluateParams`方法是关键，它首先通过`findString`方法和`TextParseUtil.translateVariables`执行第一次OGNL表达式，将name的值转化为对象。如果标签的value属性未设置，系统会依据之前计算出的name值再次调用`findValue`方法，这里又会触发一次OGNL执行，这是第二次执行OGNL代码的机会。 这个过程揭示了Struts2框架在处理用户输入时的潜在风险。即使有“沙盒”保护，设计上的漏洞仍然可能成为攻击的入口。因此，对于使用Struts2的开发团队来说，及时更新到安全版本，以及对所有用户输入进行严格的验证和过滤至关重要。 这次京东安全团队的发现不仅对Struts2的安全性做出了贡献，也提醒了整个IT行业，即使有了安全措施，仍需持续监控和测试，以防止新的攻击方式出现。对于开发者来说，理解框架的内部工作原理，特别是与用户输入相关的部分，是防止类似漏洞的关键。同时，与官方和社区保持紧密联系，及时报告和修复问题，是保障软件安全的重要环节。