关于Apache AXIS远程命令执行漏洞情况的通报

近日，国家信息安全漏洞库（CNNVD）收到关于Apache AXIS远程命令执行漏洞（CNNVD-201906-685）情况的报送。成功利用漏洞的攻击者可在未授权情况下对目标服务器远程执行命令。 Apache AXIS 1.4之前的版本均受此漏洞影响。目前，Apache官方暂未发布该漏洞补丁，但可以通过临时修补措施缓解漏洞带来的危害，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。

一、漏洞介绍

Apache AXIS 是一个开源、建基于XML的Web服务架构。它包含了Java和C++语言实现的SOAP服务器，以及各种公用服务及API用以生成和部署Web服务应用。攻击者可以发送精心构造的恶意HTTP-POST请求，获得目标服务器的权限，在未授权的情况下远程执行命令。

二、危害影响

成功利用该漏洞的攻击者，可以在目标系统中执行恶意代码。Apache AXIS 1.4之前的版本均受此漏洞影响。

三、修复建议

目前，Apache官方暂未发布该漏洞补丁，但可以通过临时修补措施缓解漏洞带来的危害，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。漏洞修补措施如下：

1、配置URL访问控制策略：

可通过ACL禁止对/services/AdminService及/services/FreeMarkerService路径的访问。

2、禁用AXIS远程管理功能

到网站目录下找到server-config.wsdd文件，用文本编辑器打开，找到enableRemoteAdmin配置项，将值设置为false。

初审一校丨郑晨溪

复审二校丨滕一平

终审三校丨仲丛久

编 辑 丨陈论