Die Schwierigkeit beim Patchen von Deserialisierungsschwachstellen
Letzte Woche wurde berichtet, dass eine mögliche Ursache für die Equifax-Datenschutzverletzung eine Sicherheitslücke im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn sie zusammen mit dem XStream-Handler zur Verarbeitung von XML-Payloads verwendet wird. Die Ursache ist Deserialisierung nicht vertrauenswürdiger Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, offiziell anerkannt als CVE-2017-9805, wurde am 5. September von Apache in der Struts-Version 2.5.13 gepatcht. Damals war es angekündigt und klar dokumentiert in der Apache Struts-Dokumentation.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen. Warum aktualisieren Unternehmen also nicht sofort? Das Problem mit Deserialisierungsschwachstellen besteht darin, dass die Routinen, die ausgenutzt werden, häufig diejenigen sind, auf denen der Anwendungscode basiert. In diesem Fall kann die Anwendung des neuen Struts-Patches einige Nebenwirkungen haben, da Dokumentation Zu der Sicherheitsanfälligkeit wird Folgendes erwähnt: „Es ist möglich, dass einige REST-Aktionen nicht mehr funktionieren, weil Standardbeschränkungen für verfügbare Klassen angewendet wurden.“ Es ist sehr wahrscheinlich, dass es einige Zeit dauert, sicherzustellen, dass die Anwendung auch auf neueren Versionen von Struts funktioniert.
Hacker benötigen jedoch nicht so viel Zeit, um veröffentlichte Sicherheitslücken auszunutzen, und wir können bereits einige Exploits beobachten veröffentlicht. Ein Metasploit Modul wurde am 8. September hinzugefügt, also drei Tage, nachdem Apache die Sicherheitslücke gepatcht hat. Es ist eindeutig keine gute Idee, Ihren Patch zu verschieben!
Die Lösung besteht darin, eine von Apache vorgeschlagene Problemumgehung zu implementieren, die in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Codierungsrichtlinien, um diese Problemumgehung durchzusetzen oder sie sogar automatisch anzuwenden, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code identifizieren und sichern können, der die Deserialisierung nicht vertrauenswürdiger Daten enthält? Besuchen Sie das Secure Code Warrior-Portal für einen klaren Überblick Erklärung und eine Trainingsherausforderung.
Die Sicherheitsanfälligkeit bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Sicherheitsanfälligkeit erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt und ausgeführt werden, wenn Struts versucht, ihn zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Die Sicherheitsanfälligkeit bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können.
Forscher für Anwendungssicherheit - Forschungs- und Entwicklungsingenieur - Doktorand
Secure Code Warrior 您的Secure Code Warrior 帮助您在整个软件开发周期中保障代码安全，并建立将网络安全置于首位的企业文化。无论您是应用安全经理、开发人员、首席信息安全官，还是其他从事安全工作的人员，我们都能协助您的企业降低不安全代码带来的风险。
预约演示
Forscher für Anwendungssicherheit - Forschungs- und Entwicklungsingenieur - Doktorand
Letzte Woche wurde berichtet, dass eine mögliche Ursache für die Equifax-Datenschutzverletzung eine Sicherheitslücke im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn sie zusammen mit dem XStream-Handler zur Verarbeitung von XML-Payloads verwendet wird. Die Ursache ist Deserialisierung nicht vertrauenswürdiger Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, offiziell anerkannt als CVE-2017-9805, wurde am 5. September von Apache in der Struts-Version 2.5.13 gepatcht. Damals war es angekündigt und klar dokumentiert in der Apache Struts-Dokumentation.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen. Warum aktualisieren Unternehmen also nicht sofort? Das Problem mit Deserialisierungsschwachstellen besteht darin, dass die Routinen, die ausgenutzt werden, häufig diejenigen sind, auf denen der Anwendungscode basiert. In diesem Fall kann die Anwendung des neuen Struts-Patches einige Nebenwirkungen haben, da Dokumentation Zu der Sicherheitsanfälligkeit wird Folgendes erwähnt: „Es ist möglich, dass einige REST-Aktionen nicht mehr funktionieren, weil Standardbeschränkungen für verfügbare Klassen angewendet wurden.“ Es ist sehr wahrscheinlich, dass es einige Zeit dauert, sicherzustellen, dass die Anwendung auch auf neueren Versionen von Struts funktioniert.
Hacker benötigen jedoch nicht so viel Zeit, um veröffentlichte Sicherheitslücken auszunutzen, und wir können bereits einige Exploits beobachten veröffentlicht. Ein Metasploit Modul wurde am 8. September hinzugefügt, also drei Tage, nachdem Apache die Sicherheitslücke gepatcht hat. Es ist eindeutig keine gute Idee, Ihren Patch zu verschieben!
Die Lösung besteht darin, eine von Apache vorgeschlagene Problemumgehung zu implementieren, die in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Codierungsrichtlinien, um diese Problemumgehung durchzusetzen oder sie sogar automatisch anzuwenden, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code identifizieren und sichern können, der die Deserialisierung nicht vertrauenswürdiger Daten enthält? Besuchen Sie das Secure Code Warrior-Portal für einen klaren Überblick Erklärung und eine Trainingsherausforderung.
Die Sicherheitsanfälligkeit bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Sicherheitsanfälligkeit erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt und ausgeführt werden, wenn Struts versucht, ihn zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Letzte Woche wurde berichtet, dass eine mögliche Ursache für die Equifax-Datenschutzverletzung eine Sicherheitslücke im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn sie zusammen mit dem XStream-Handler zur Verarbeitung von XML-Payloads verwendet wird. Die Ursache ist Deserialisierung nicht vertrauenswürdiger Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, offiziell anerkannt als CVE-2017-9805, wurde am 5. September von Apache in der Struts-Version 2.5.13 gepatcht. Damals war es angekündigt und klar dokumentiert in der Apache Struts-Dokumentation.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen. Warum aktualisieren Unternehmen also nicht sofort? Das Problem mit Deserialisierungsschwachstellen besteht darin, dass die Routinen, die ausgenutzt werden, häufig diejenigen sind, auf denen der Anwendungscode basiert. In diesem Fall kann die Anwendung des neuen Struts-Patches einige Nebenwirkungen haben, da Dokumentation Zu der Sicherheitsanfälligkeit wird Folgendes erwähnt: „Es ist möglich, dass einige REST-Aktionen nicht mehr funktionieren, weil Standardbeschränkungen für verfügbare Klassen angewendet wurden.“ Es ist sehr wahrscheinlich, dass es einige Zeit dauert, sicherzustellen, dass die Anwendung auch auf neueren Versionen von Struts funktioniert.
Hacker benötigen jedoch nicht so viel Zeit, um veröffentlichte Sicherheitslücken auszunutzen, und wir können bereits einige Exploits beobachten veröffentlicht. Ein Metasploit Modul wurde am 8. September hinzugefügt, also drei Tage, nachdem Apache die Sicherheitslücke gepatcht hat. Es ist eindeutig keine gute Idee, Ihren Patch zu verschieben!
Die Lösung besteht darin, eine von Apache vorgeschlagene Problemumgehung zu implementieren, die in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Codierungsrichtlinien, um diese Problemumgehung durchzusetzen oder sie sogar automatisch anzuwenden, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code identifizieren und sichern können, der die Deserialisierung nicht vertrauenswürdiger Daten enthält? Besuchen Sie das Secure Code Warrior-Portal für einen klaren Überblick Erklärung und eine Trainingsherausforderung.
Die Sicherheitsanfälligkeit bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Sicherheitsanfälligkeit erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt und ausgeführt werden, wenn Struts versucht, ihn zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Letzte Woche wurde berichtet, dass eine mögliche Ursache für die Equifax-Datenschutzverletzung eine Sicherheitslücke im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn sie zusammen mit dem XStream-Handler zur Verarbeitung von XML-Payloads verwendet wird. Die Ursache ist Deserialisierung nicht vertrauenswürdiger Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, offiziell anerkannt als CVE-2017-9805, wurde am 5. September von Apache in der Struts-Version 2.5.13 gepatcht. Damals war es angekündigt und klar dokumentiert in der Apache Struts-Dokumentation.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen. Warum aktualisieren Unternehmen also nicht sofort? Das Problem mit Deserialisierungsschwachstellen besteht darin, dass die Routinen, die ausgenutzt werden, häufig diejenigen sind, auf denen der Anwendungscode basiert. In diesem Fall kann die Anwendung des neuen Struts-Patches einige Nebenwirkungen haben, da Dokumentation Zu der Sicherheitsanfälligkeit wird Folgendes erwähnt: „Es ist möglich, dass einige REST-Aktionen nicht mehr funktionieren, weil Standardbeschränkungen für verfügbare Klassen angewendet wurden.“ Es ist sehr wahrscheinlich, dass es einige Zeit dauert, sicherzustellen, dass die Anwendung auch auf neueren Versionen von Struts funktioniert.
Hacker benötigen jedoch nicht so viel Zeit, um veröffentlichte Sicherheitslücken auszunutzen, und wir können bereits einige Exploits beobachten veröffentlicht. Ein Metasploit Modul wurde am 8. September hinzugefügt, also drei Tage, nachdem Apache die Sicherheitslücke gepatcht hat. Es ist eindeutig keine gute Idee, Ihren Patch zu verschieben!
Die Lösung besteht darin, eine von Apache vorgeschlagene Problemumgehung zu implementieren, die in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Codierungsrichtlinien, um diese Problemumgehung durchzusetzen oder sie sogar automatisch anzuwenden, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code identifizieren und sichern können, der die Deserialisierung nicht vertrauenswürdiger Daten enthält? Besuchen Sie das Secure Code Warrior-Portal für einen klaren Überblick Erklärung und eine Trainingsherausforderung.
Die Sicherheitsanfälligkeit bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Sicherheitsanfälligkeit erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt und ausgeführt werden, wenn Struts versucht, ihn zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
入门资源
Trust Agent:AI - Secure and scale AI-Drive development
AI is writing code. Who’s governing it? With up to 50% of AI-generated code containing security weaknesses, managing AI risk is critical. Discover how SCW's Trust Agent: AI provides the real-time visibility, proactive governance, and targeted upskilling needed to scale AI-driven development securely.
OpenText 应用程序安全性的强大功能 + Secure Code Warrior
OpenText Application Security and Secure Code Warrior combine vulnerability detection with AI Software Governance and developer capability. Together, they help organizations reduce risk, strengthen secure coding practices, and confidently adopt AI-driven development.
Secure Code Warrior corporate overview
Secure Code Warrior is an AI Software Governance platform designed to enable organizations to safely adopt AI-driven development by bridging the gap between development velocity and enterprise security. The platform addresses the "Visibility Gap," where security teams often lack insights into shadow AI coding tools and the origins of production code.
