Die Schwierigkeit beim Patchen von Deserialisierungsschwachstellen
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können.
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchen
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Klicken Sie auf den unten stehenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenDemo buchen
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Inhaltsübersicht
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen für den Einstieg
Benchmarking von Sicherheitskompetenzen: Optimierung von Secure-by-Design im Unternehmen
Die Secure-by-Design-Bewegung ist die Zukunft der sicheren Softwareentwicklung. Erfahren Sie mehr über die wichtigsten Elemente, die Unternehmen berücksichtigen müssen, wenn sie über eine Secure-by-Design-Initiative nachdenken.
DigitalOcean verringert Sicherheitsverschuldung mit Secure Code Warrior
DigitalOceans Einsatz von Secure Code Warrior hat die Sicherheitsverschuldung deutlich reduziert, so dass sich die Teams stärker auf Innovation und Produktivität konzentrieren können. Die verbesserte Sicherheit hat die Produktqualität und den Wettbewerbsvorteil des Unternehmens gestärkt. Mit Blick auf die Zukunft wird der SCW Trust Score dem Unternehmen helfen, seine Sicherheitspraktiken weiter zu verbessern und Innovationen voranzutreiben.
Ressourcen für den Einstieg
Trust Score zeigt den Wert von Secure-by-Design-Upskilling-Initiativen
Unsere Forschung hat gezeigt, dass Schulungen für sicheren Code funktionieren. Trust Score verwendet einen Algorithmus, der auf mehr als 20 Millionen Lerndaten aus der Arbeit von mehr als 250.000 Lernenden in über 600 Organisationen basiert, und zeigt, wie effektiv die Initiative ist, um Schwachstellen zu beseitigen und wie man sie noch effektiver gestalten kann.
.png)
Reaktive versus präventive Sicherheit: Prävention ist das bessere Heilmittel
Der Gedanke, Legacy-Code und -Systeme zur gleichen Zeit wie neuere Anwendungen mit präventiver Sicherheit auszustatten, kann entmutigend erscheinen, aber ein Secure-by-Design-Ansatz, der durch die Weiterbildung von Entwicklern durchgesetzt wird, kann die besten Sicherheitsverfahren auf diese Systeme anwenden. Dies ist für viele Unternehmen die beste Chance, ihre Sicherheitslage zu verbessern.
Die Vorteile eines Benchmarking der Sicherheitskompetenzen von Entwicklern
Der zunehmende Fokus auf sicheren Code und Secure-by-Design-Prinzipien erfordert, dass Entwickler von Beginn des SDLC an in Cybersicherheit geschult werden, wobei Tools wie Secure Code Warrior's Trust Score dabei helfen, ihre Fortschritte zu messen und zu verbessern.
Wesentlicher Erfolg für Enterprise Secure-by-Design-Initiativen
Unser jüngstes Forschungspapier „Benchmarking Security Skills: Streamlining Secure-by-Design in the Enterprise“ ist das Ergebnis einer umfassenden Analyse echter Secure-by-Design-Initiativen auf Unternehmensebene und der Ableitung von Best-Practice-Ansätzen auf Grundlage datengesteuerter Erkenntnisse.
Entwicklergesteuerte Kodierung.
Sicher ist sicher.
Setzen Sie sich noch heute mit uns in Verbindung und machen Sie Softwaresicherheit zu einem festen Bestandteil Ihres Entwicklungsprozesses.
