Die Schwierigkeit beim Patchen von Deserialisierungsschwachstellen
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können.
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchen
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Klicken Sie auf den unten stehenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenDemo buchen
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Inhaltsübersicht
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen für den Einstieg
Bedrohungsmodellierung mit KI: So wird jeder Entwickler zum Bedrohungsmodellierer
Sie werden besser gerüstet sein, um Entwicklern dabei zu helfen, Ideen und Techniken zur Bedrohungsmodellierung mit den KI-Tools zu kombinieren, die sie bereits verwenden, um die Sicherheit zu erhöhen, die Zusammenarbeit zu verbessern und von Anfang an widerstandsfähigere Software zu entwickeln.
.png)
.avif)
Die Macht der Marke in AppSec DevSec DevSecOps (Was steckt in einem Akronym!?)
Für eine dauerhafte Wirkung von AppSec-Programmen braucht es mehr als nur Technik - es braucht eine starke Marke. Eine starke Identität stellt sicher, dass Ihre Initiativen auf Resonanz stoßen und ein nachhaltiges Engagement innerhalb Ihrer Entwicklergemeinschaft fördern.
Ressourcen für den Einstieg
Neue Risikokategorie in den OWASP Top Ten: Erwarten Sie das Unerwartete
Die OWASP Top 10 2025 fügt die Fehlbehandlung von Ausnahmebedingungen auf Platz 10 hinzu. Reduzieren Sie die Risiken durch eine "fail closed"-Logik, globale Fehlerbehandlungsprogramme und eine strenge Eingabevalidierung.
.png)
OWASP Top 10: 2025 - Was gibt es Neues und wie Secure Code Warrior Ihnen hilft, auf dem Laufenden zu bleiben
Entdecken Sie, was sich in den OWASP Top 10 geändert hat: 2025 und wie Secure Code Warrior den Übergang mit aktualisierten Quests, Courses und Einblicken für Entwickler erleichtert.
Agenten-KI in der Software-Entwicklung SCHNELL einführen! (Spoiler: Wahrscheinlich sollten Sie es nicht tun.)
Arbeitet die Cybersicherheitswelt zu schnell an agentenbasierter KI? Die Zukunft der KI-Sicherheit ist da, und es ist an der Zeit, dass Experten von ihren Überlegungen zur Realität übergehen.
Entwicklergesteuerte Kodierung.
Sicher ist sicher.
Setzen Sie sich noch heute mit uns in Verbindung und machen Sie Softwaresicherheit zu einem festen Bestandteil Ihres Entwicklungsprozesses.
