Die Schwierigkeit beim Patchen von Deserialisierungsschwachstellen
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können.
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchen
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Klicken Sie auf den unten stehenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenDemo buchen
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Inhaltsübersicht
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen für den Einstieg
Trust Agent:AI - Secure and scale AI-Drive development
AI is writing code. Who’s governing it? With up to 50% of AI-generated code containing security weaknesses, managing AI risk is critical. Discover how SCW's Trust Agent: AI provides the real-time visibility, proactive governance, and targeted upskilling needed to scale AI-driven development securely.
Die Leistungsfähigkeit von OpenText Application Security + Secure Code Warrior
OpenText Application Security and Secure Code Warrior combine vulnerability detection with AI Software Governance and developer capability. Together, they help organizations reduce risk, strengthen secure coding practices, and confidently adopt AI-driven development.
Secure Code Warrior corporate overview
Secure Code Warrior is an AI Software Governance platform designed to enable organizations to safely adopt AI-driven development by bridging the gap between development velocity and enterprise security. The platform addresses the "Visibility Gap," where security teams often lack insights into shadow AI coding tools and the origins of production code.
Themen und Inhalte der Schulung zu sicherem Code
Our industry-leading content is always evolving to fit the ever changing software development landscape with your role in mind. Topics covering everything from AI to XQuery Injection, offered for a variety of roles from Architects and Engineers to Product Managers and QA. Get a sneak peek of what our content catalog has to offer by topic and role.
Ressourcen für den Einstieg
Observe and Secure the ADLC: A Four-Point Framework for CISOs and Development Teams Using AI
While development teams look to make the most of GenAI’s undeniable benefits, we’d like to propose a four-point foundational framework that will allow security leaders to deploy AI coding tools and agents with a higher, more relevant standard of security best practices. It details exactly what enterprises can do to ensure safe, secure code development right now, and as agentic AI becomes an even bigger factor in the future.
KI kann Code schreiben und überprüfen – aber das Risiko tragen weiterhin die Menschen.
Die Einführung von Claude Code Security durch Anthropic markiert einen entscheidenden Schnittpunkt zwischen KI-gestützter Softwareentwicklung und der rasanten Weiterentwicklung unserer Herangehensweise an moderne Cybersicherheit.