Apache Axis遠程代碼執行0day漏洞處置建議
發布時間 2019-06-19漏洞編號和級別
CVE編號：暫無，危險級別：高危，CVSS分值：官方未評定
影響版本
適用于Apache Axis <= 1.4版本，Axis 允許遠程管理，使用 Freemarker 插件的情況下存在漏洞。
影響范圍
影響范圍較小，國內暴露在公網的Axis，不到80個ip。
漏洞概述
Apache Axis是美國阿帕奇（Apache）軟件基金會的一個開源、基于XML的Web服務架構。該產品包含了Java和C++語言實現的SOAP服務器，以及各種公用服務及API，以生成和部署Web服務應用。
Apache Axis中存在遠程命令執行漏洞，攻擊者可通過發送精心構造的惡意 HTTP-POST 請求，獲得目標服務器權限，在未授權情況下遠程執行命令。
漏洞驗證
暫無POC/EXP。
修復建議
官方暫未發布針對此漏洞的修復補丁，在官方修復之前，可以采取以下方式進行臨時防護：
如果當前系統不需要使用Axis的功能，可在lib目錄下找到axis.jar文件，將其刪除。在執行刪除操作前請對文件做好備份，防止因刪除文件導致的業務中斷。
到網站目錄下找到server-config.wsdd文件，用文本編輯器打開，找到enableRemoteAdmin配置項，將值設置為false，如圖所示：
京公網安備11010802024551號