Apache Axis远程命令执行漏洞预警

【漏洞简介】

近日，御见威胁情报中心发现早前曝光的Apache axis组件远程命令执行漏洞相关POC已被公开，该漏洞是由于AdminService配置的错误造成，当enableRemoteAdmin属性设置为true时，攻击者可以远程利用通过AdminService接口部署一个WebService，利用生成的WebService接口就可以进行远程命令执行漏洞的利用。

【Axis介绍】

Axis全称Apache eXtensible Interaction System，Axis是SOAP Engine，是Apache组织下的一个开源项目，用来构造SOAP处理器，例如客户端，服务器端，网管等等。Axis主流是使用Java实现的，但是Axis也提供C++的客户端实现。Axis不仅仅是一个SOAP Engine，还可以作为一个独立的SOAP服务器和一个嵌入Servlet引擎（例如Tomcat）的服务器。

【风险评级】高危

【影响范围】

Apache AXIS 1.4及早期版本的freemarker组件

【漏洞分析】

该漏洞是由于AdminService配置的错误造成，当enableRemoteAdmin属性设置为true时，攻击者可以构造WebService，调用freemarker组件中的template.utility.Execute类，可以远程利用通过AdminService 接口部署WebService，再利用生成的WebService接口就传入远程执行命令，就可以达到远程命令执行漏洞利用的目的。

【漏洞复现】

搭建Axis1.4，Tomcat9的环境，将AdminService配置中的enableRemoteAdmin属性设置为true。