搜索

[2441] 2015-11-12_Java组件远程代码执行漏洞持续影响超9个月

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-16
2015-11-12_Java组件远程代码执行漏洞持续影响超9个月 J a v a 组 件 远 程 代 码 执 行 漏 洞 持 续 影 响 超 9 个 月 E 安 全   2 0 1 5 - 1 1 - 1 2 A p a c h e   C o m m o n s   C o l l e c t i o n s 组 件 当 中 的 一 项 缺 陷 令 组 件 当 中 的 一 项 缺 陷 令 J a v a 应 用 服 务 器 陷 入 遭 受 侵 袭 的 风 险 当 中 。 应 用 服 务 器 陷 入 遭 受 侵 袭 的 风 险 当 中 。 一 套 高 人 气 J a v a 库 当 中 存 在 着 于 九 个 多 月 之 前 发 现 的 安 全 漏 洞 ， 而 这 一 状 况 继 续 将 成 千 上 万 J a v a 应 用 程 序 及 服 务 器 陷 入 远 程 代 码 执 行 的 攻 击 风 险 当 中 。 该   项 漏 洞 存 在 于 A p a c h e   C o m m o n s 当 中 ， 这 套 库 当 中 包 含 着 一 系 列 使 用 范 围 极 广 的 J a v a 组 件 ， 并 由 A p a c h e 软 件 基 金 会 负 责 维 护 。 该 库 被 默 认 使 用 于 大 量 J a v a 应 用 程 序 服   务 器 以 及 包 括 甲 骨 文 W e b L o g i c 、 I B M   W e b S p h e r e 、 J B o s s 、 J e n k i n s 以 及 O p e n N M S 等 其 它 产 品 当 中 。 该 项 漏 洞 专 门 存 在 于 A p a c h e   C o m m o n s 的 C o l l e c t i o n s 组 件 当 中 ， 而 且 会 收 集 不 安 全 的 J a v a 对 象 反 序 列 化 内 容 。 在 编 程 语 言 当 中 ， 序 列 化 是 指 将 数 据 转 化 为 二 进 制 格 式 以 保 存 为 文 件 、 驻 留 在 内 存 中 或 者 通 过 网 络 进 行 发 送 的 过 程 。 反 序 列 化 则 是 该 流 程 的 逆 向 执 行 过 程 。 这 项 漏 洞 最 早 是 在 今 年 1 月 的 一 次 安 全 会 议 上 被 研 究 人 员 C h r i s   F r o h o f f 与 G a b r i e l   L a w r e n c e 所 曝 光 ， 不 过 当 时 其 并 没 有 引 起 人 们 多 少 重 视 ， 这 可 能 是 因 为 大 多 数 人 认 为 预 防 反 序 列 化 攻 击 的 责 任 应 该 由 J a v a 应 用 开 发 人 员 所 承 担 — — 而 非 第 三 方 库 的 构 建 者 。 “ 我 认 为 我 们 不 该 单 纯 责 怪 第 三 方 库 ， 不 过 其 确 实 可 以 做 出 改 进 ， ” 安 全 漏 洞 情 报 企 业 R i s k   B a s e d   S e c u r i t y 公 司 首 席 研 究 官 C a r s t e n   E i r a m 在 电 子 邮 件 中 指 出 。 “ 总 而 言 之 ， 不 可 信 的 输 入 内 容 不 应 被 盲 目 进 行 反 序 列 化 处 理 。 开 发 人 员 应 当 了 解 到 库 的 工 作 原 理 并 利 用 库 进 行 输 入 内 容 验 证 ， 而 非 简 单 认 为 或 者 指 望 库 本 身 拥 有 解 决 安 全 问 题 的 能 力 。 ” 研 究 企 业 F o x G l o v e   S e c u r i t y 公 司 根 据 其 对 W e b L o g i c 、 W e b S p h e r e 、 J b o s s 、 J e n k i n s 以 及 O p e n N M S 等 进 行 的 概 念 验 证 ， 于 上 周 五 对 该 安 全 漏 洞 进 行 了 新 一 轮 报 告 与 强 调 。 作 为 响 应 ， 甲 骨 文 方 面 于 本 周 二 发 布 了 一 份 安 全 警 报 ， 其 中 包 含 针 对 W e b L o g i c   S e r v e r 的 临 时 解 决 指 令 — — 此 外 甲 骨 文 还 在 积 极 开 发 永 久 性 补 丁 。 A p a c h e   C o m m o n s   C o l l e c t i o n s 的 开 发 人 员 们 也 已 经 开 始 了 相 应 的 修 复 工 作 。
A p a c h e   C o m m o n s   C o l l e c t i o n s 中 包 含 一 个 I n v o k e r T r a n s f o r m e r 类 ， 其 负 责 执 行 反 射 或 者 叫 作 动 态 方 法 调 用 ， 并 且 允 许 开 发 人 员 在 其 中 添 加 一 个 序 列 化 对 象 。 这 可 能 允 许 攻 击 者 在 用 户 输 入 的 对 象 中 添 加 恶 意 内 容 ， 并 在 该 对 象 由 J a v a 应 用 程 序 利 用 A p a c h e C o m m o n s 库 进 行 序 列 化 时 让 对 应 恶 意 内 容 得 以 执 行 。 I n v o k e r T r a n s f o r m e r 类 本 身 并 不 存 在 漏 洞 ， 而 且 也 不 涉 及 序 列 化 ， 但 二 者 相 结 合 之 后 则 会 导 致 上 述 安 全 问 题 ， S o n a t y p e 公 司 C T O   J o s h u a   C o r m a n 指 出 — — 这 是 一 家 软 件 供 应 链 自 动 化 厂 商 ， 旨 在 帮 助 开 发 人 员 追 踪 并 管 理 其 在 应 用 程 序 当 中 使 用 的 各 项 组 件 。 C o r m a n 与 S o n a t y p e 公 司 安 全 研 究 人 员 B r u c e   M a y h e w 认 为 ， 这 项 问 题 并 不 限 于 A p a c h e   C o m m o n s   C o l l e c t i o n s ， 其 它 J a v a 组 件 可 能 也 面 临 着 同 样 的 问 题 。 “ 我 向 大 家 保 证 ， 目 前 有 很 多 人 都 在 对 各 类 常 见 组 件 进 行 梳 理 ， 希 望 找 出 其 它 一 些 同 样 允 许 命 令 意 外 执 行 的 序 列 化 类 ， ” M a y h e w 表 示 。 “ 当 然 ， 其 中 有 些 是 好 人 ， 有 些 则 是 意 图 搞 破 坏 的 恶 意 人 士 。 ” 甚 至 单 纯 着 眼 于 A p a c h e   C o m m o n s   C o l l e c t i o n s ， I n v o k e r T r a n s f o r m e r 都 不 是 惟 一 存 在 安 全 漏 洞 的 类 ， 针 对 该 组 件 漏 洞 追 踪 报 告 的 讨 论 意 见 指 出 。 目 前 已 经 有 其 它 三 个 类 被 单 独 挑 选 出 来 ， 作 为 可 能 存 在 同 样 问 题 的 备 选 关 注 对 象 。 F o x G l o v e   S e c u r i t y 公 司 的 研 究 人 员 们 搜 索 了 托 管 于 G i t H u b 之 上 的 各 使 用 了 “ c o m m o n s - c o l l e c t i o n ” 公 开 软 件 项 目 ， 并 发 现 了 1 3 0 0 多 个 结 果 。 不 过 除 了 这 些 ， 企 业 环 境 中 还 可 能 存 在 着 成 千 上 万 以 定 制 化 方 式 创 建 且 使 用 该 库 的 J a v a 应 用 程 序 。 这   个 问 题 很 可 能 超 出 特 定 组 件 范 畴 而 广 泛 存 在 ， 因 此 在 相 关 补 丁 正 式 发 布 之 前 ， 开 发 人 员 应 当 考 虑 自 己 能 够 将 c o m m o n s - c o l l e c t i o n s 从   c l a s s p a t h 当 中 移 除 或 者 将 I n v o k e r T r a n s f o r m e r 类 从 c o m m o n - c o l l e c t i o n s   j a r 文 件 中 移 除 。 当 然 ， 在 实 施 这 类 变 更 之 前 开 发 人 员 还 需 要 进 行 认 真 权 衡 ， 因 为 其 很 有 可 能 破 坏 应 用 程 序 的 正 常 运 行 能 力 。 本 文 由   E 安 全   翻 译 ， 转 载 请 注 明 “ 转 自 E 安 全 ” 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理