Die Schwierigkeit beim Patchen von Deserialisierungsschwachstellen
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können.
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchen
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Klicken Sie auf den unten stehenden Link und laden Sie die PDF-Datei dieser Ressource herunter.
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Bericht ansehenDemo buchen
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datenbruch eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn es mit XStream-Handler verwendet wird, um XML-Nutzdaten zu verarbeiten. Die Ursache ist die Deserialisierung von nicht vertrauenswürdigen Daten, was ein bekannter Schwachstellentyp ist. Die Sicherheitslücke, die offiziell als CVE-2017-9805 bekannt ist, wurde von Apache am 5. September in der Struts-Version 2.5.13 gepatcht. Sie wurde daraufhin angekündigt und in der Apache Struts-Dokumentation eindeutig dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen, warum also aktualisieren Unternehmen nicht sofort? Das Problem bei Deserialisierungsschwachstellen ist, dass die Routinen, die ausgenutzt werden, oft diejenigen sind, auf die sich der Anwendungscode verlässt. In diesem Fall könnte die Anwendung des neuen Struts-Patches einige Nebeneffekte haben, denn in der Dokumentation zu der Schwachstelle heißt es: "Es ist möglich, dass einige REST-Aktionen aufgrund der angewandten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren." Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung auf neueren Versionen von Struts weiterhin funktioniert.
Hacker brauchen jedoch nicht so viel Zeit, um mit dem Missbrauch veröffentlichter Schwachstellen zu beginnen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle gepatcht hatte. Das Aufschieben des Patches ist eindeutig keine gute Idee!
Die Lösung ist die Implementierung eines von Apache vorgeschlagenen Workarounds, der in einem kürzeren Zeitrahmen durchgeführt werden könnte. Ein Sicherheitstool mit konfigurierbaren Kodierungsrichtlinien, das diese Umgehung erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code, der die Deserialisierung von nicht vertrauenswürdigen Daten enthält, identifizieren und absichern können? Besuchen Sie das Portal Secure Code Warrior für eine klare Erklärung und eine Trainingsherausforderung.
Die Schwachstelle bezieht sich darauf, wie Struts diese Art von Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wenn die Schwachstelle erfolgreich ausgenutzt wird, kann bösartiger Code in solchen Daten versteckt werden und ausgeführt werden, wenn Struts versucht, sie zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Inhaltsübersicht
Anwendungssicherheitsforscher - F&E-Ingenieur - PhD-Kandidat
Secure Code Warrior ist für Ihr Unternehmen da, um Sie dabei zu unterstützen, Ihren Code über den gesamten Lebenszyklus der Softwareentwicklung hinweg zu sichern und eine Kultur zu schaffen, in der Cybersicherheit an erster Stelle steht. Ganz gleich, ob Sie AppSec-Manager, Entwickler, CISO oder ein anderer Sicherheitsverantwortlicher sind, wir können Ihrem Unternehmen helfen, die mit unsicherem Code verbundenen Risiken zu reduzieren.
Demo buchenHerunterladenRessourcen für den Einstieg
Auf dem Weg zu Gold: Steigende Standards für sicheren Code bei Paysafe
Sehen Sie, wie die Partnerschaft von Paysafe mit Secure Code Warrior die Produktivität der Entwickler um 45 % steigerte und die Zahl der Code-Schwachstellen erheblich reduzierte.
.png)
Die Macht der Marke in AppSec DevSec DevSecOps (Was ist in einem Acrynym!?)
Für eine dauerhafte Wirkung von AppSec-Programmen braucht es mehr als nur Technik - es braucht eine starke Marke. Eine starke Identität stellt sicher, dass Ihre Initiativen auf Resonanz stoßen und ein nachhaltiges Engagement innerhalb Ihrer Entwicklergemeinschaft fördern.
Vertrauensagent: AI von Secure Code Warrior
Dieser One-Pager stellt den SCW Trust Agent: AI vor, eine neue Reihe von Funktionen, die tiefgreifende Beobachtbarkeit und Kontrolle über KI-Codierwerkzeuge bieten. Erfahren Sie, wie unsere Lösung die Nutzung von KI-Tools mit den Fähigkeiten von Entwicklern korreliert, um Sie beim Risikomanagement zu unterstützen, Ihren SDLC zu optimieren und sicherzustellen, dass jede Zeile des von KI generierten Codes sicher ist.
.avif)
Vibe Coding: Praktischer Leitfaden zur Aktualisierung Ihrer AppSec-Strategie für KI
In diesem On-Demand-Video erfahren Sie, wie AppSec-Manager durch einen praktischen Ansatz, bei dem die Schulung im Vordergrund steht, in die Lage versetzt werden, KI zu fördern, anstatt sie zu blockieren. Wir zeigen Ihnen, wie Sie Secure Code Warrior (SCW) nutzen können, um Ihre AppSec-Strategie strategisch für das Zeitalter der KI-Codierassistenten zu aktualisieren.
Ressourcen für den Einstieg
.avif)
Sicheres Coding im Zeitalter der KI: Testen Sie unsere neuen interaktiven KI-Herausforderungen
KI-gestütztes Coding verändert die Entwicklung. Testen Sie unsere neuen KI-Herausforderungen im Copilot-Stil, um Code in realistischen Workflows sicher zu prüfen, zu analysieren und zu korrigieren.
Entwicklergesteuerte Kodierung.
Sicher ist sicher.
Setzen Sie sich noch heute mit uns in Verbindung und machen Sie Softwaresicherheit zu einem festen Bestandteil Ihres Entwicklungsprozesses.
