직렬화 취약점 패치의 어려움
직렬화 취약점 패치의 어려움
지난 주, 그것은 Equifax 데이터 유출 뒤에 가능한 원인은 아파치 스트럿스 REST 플러그인의 취약점이었다보고되었다. 이전 버전의 플러그인은 XStream 처리기와 함께 XML 페이로드를 처리하는 데 사용할 때 원격 코드 실행 공격에 취약합니다. 원인은 잘 알려진 취약점 유형인 신뢰할 수 없는 데이터의 직렬화입니다. CVE-2017-9805로공식적으로 인정된 이 취약점은 9월 5일 스트럿스 버전 2.5.13에서 아파치에 의해 패치되었습니다. 그런 다음 아파치 스트럿스 문서에 발표되고 명확하게 문서화되었습니다.
단순히 최신 스트럿스 버전으로 업그레이드하면이 공격으로부터 응용 프로그램을 보호 할 수 있습니다, 그래서 왜 회사는 즉시 업그레이드하지 않습니다? 직렬화 취약점의 문제는 악용중인 루틴이 응용 프로그램 코드가 의존하는 루틴인 경우가 많다는 것입니다. 이 경우 새 스트럿 패치를 적용하면 취약점에 대한 설명서에 "사용 가능한 클래스에 적용된 기본 제한으로 인해 일부 REST 작업이 작동을 중지할 수 있습니다"라고 언급하는 경우 일부 부작용이 있을 수 있습니다. 응용 프로그램이 Struts의 최신 버전에서 계속 작업하는 데 시간이 걸릴 가능성이 높습니다.
그러나 해커는 게시된 취약점을 악용하기 시작하는 데 많은 시간이 필요하지 않으며 이미 일부 악용이 게시된것을 볼 수 있습니다. 메타스플로이트 모듈이 9월 8일에 추가되었으며, 아파치가 취약점을 패치한 지 3일 후입니다. 패치를 연기하는 것은 분명히 좋은 생각이 아닙니다!
해결책은 아파치가 제안한 해결 방법을 구현하는 것이며, 이는 짧은 시간 내에 이루어질 수 있습니다. 이 해결 방법을 적용하거나 자동으로 적용하는 구성 가능한 코딩 지침이 있는 보안 도구는 이 프로세스의 속도를 크게 높일 수 있습니다.
신뢰할 수 없는 데이터의 직렬화가 포함된 코드를 식별하고 보호하는 방법에 대해 자세히 알고 싶습니까? Secure Code Warrior 명확한 설명과 교육 도전에대한 포털 .
이 취약점은 스트럿스가 이러한 종류의 데이터를 구문 분석하고 Java 프로그래밍 언어로 해석할 수 있는 정보로 변환하는 방법과 관련이 있습니다. 취약점이 성공적으로 악용되면 이러한 데이터 내부에 악성 코드를 숨기고 스트럿스가 취약점을 변환하려고 할 때 실행할 수 있습니다.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
블로그에서 최신 보안 코딩 인사이트에 대해 자세히 알아보세요.
Atlassian의 광범위한 리소스 라이브러리는 안전한 코딩 숙련도를 확보하기 위한 인적 접근 방식을 강화하는 것을 목표로 합니다.
개발자 중심 보안에 대한 최신 연구 보기
광범위한 리소스 라이브러리에는 개발자 중심의 보안 코딩을 시작하는 데 도움이 되는 백서부터 웨비나까지 유용한 리소스가 가득합니다. 지금 살펴보세요.
직렬화 취약점 패치의 어려움
지난 주, 그것은 Equifax 데이터 유출 뒤에 가능한 원인은 아파치 스트럿스 REST 플러그인의 취약점이었다보고되었다. 이전 버전의 플러그인은 XStream 처리기와 함께 XML 페이로드를 처리하는 데 사용할 때 원격 코드 실행 공격에 취약합니다. 원인은 잘 알려진 취약점 유형인 신뢰할 수 없는 데이터의 직렬화입니다. CVE-2017-9805로공식적으로 인정된 이 취약점은 9월 5일 스트럿스 버전 2.5.13에서 아파치에 의해 패치되었습니다. 그런 다음 아파치 스트럿스 문서에 발표되고 명확하게 문서화되었습니다.
단순히 최신 스트럿스 버전으로 업그레이드하면이 공격으로부터 응용 프로그램을 보호 할 수 있습니다, 그래서 왜 회사는 즉시 업그레이드하지 않습니다? 직렬화 취약점의 문제는 악용중인 루틴이 응용 프로그램 코드가 의존하는 루틴인 경우가 많다는 것입니다. 이 경우 새 스트럿 패치를 적용하면 취약점에 대한 설명서에 "사용 가능한 클래스에 적용된 기본 제한으로 인해 일부 REST 작업이 작동을 중지할 수 있습니다"라고 언급하는 경우 일부 부작용이 있을 수 있습니다. 응용 프로그램이 Struts의 최신 버전에서 계속 작업하는 데 시간이 걸릴 가능성이 높습니다.
그러나 해커는 게시된 취약점을 악용하기 시작하는 데 많은 시간이 필요하지 않으며 이미 일부 악용이 게시된것을 볼 수 있습니다. 메타스플로이트 모듈이 9월 8일에 추가되었으며, 아파치가 취약점을 패치한 지 3일 후입니다. 패치를 연기하는 것은 분명히 좋은 생각이 아닙니다!
해결책은 아파치가 제안한 해결 방법을 구현하는 것이며, 이는 짧은 시간 내에 이루어질 수 있습니다. 이 해결 방법을 적용하거나 자동으로 적용하는 구성 가능한 코딩 지침이 있는 보안 도구는 이 프로세스의 속도를 크게 높일 수 있습니다.
신뢰할 수 없는 데이터의 직렬화가 포함된 코드를 식별하고 보호하는 방법에 대해 자세히 알고 싶습니까? Secure Code Warrior 명확한 설명과 교육 도전에대한 포털 .
이 취약점은 스트럿스가 이러한 종류의 데이터를 구문 분석하고 Java 프로그래밍 언어로 해석할 수 있는 정보로 변환하는 방법과 관련이 있습니다. 취약점이 성공적으로 악용되면 이러한 데이터 내부에 악성 코드를 숨기고 스트럿스가 취약점을 변환하려고 할 때 실행할 수 있습니다.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/