搜索

[4297] 2017-09-11_ApacheStruts漏洞导致1.43亿美国公民信息被泄

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-09-11_ApacheStruts漏洞导致1.43亿美国公民信息被泄 A p a c h e   S t r u t s 漏 洞 导 致 1 . 4 3 亿 美 国 公 民 信 息 被 泄 原 创   E 小 编   E 安 全   2 0 1 7 - 0 9 - 1 1 E 安 全 9 月 1 1 日 讯   美 国 征 信 企 业 E q u i f a x 在 9 月 7 号 发 表 声 明 称 被 黑 客 窃 取 了 1 . 4 3 亿 美 国 用 户 的 个 人 信 息 记 录 ， 并 表 示 该 黑 客 是 利 用 美 国 网 站 应 用 的 漏 洞 获 取 了 这 些 文 件 。 据 W i l l i a m   B a i r d & C o . 一 份 关 于 数 据 泄 露 的 报 告 透 露 ， 该 漏 洞 存 在 于 名 为 A p a c h e   S t r u t s 的 开 源 软 件 包 中 ， 是 用 J a v a 编 写 的 创 建 W e b 应 用 的 框 架 。 截 至 2 0 1 7 年 ， S t r u t s 中 已 发 现 多 个 高 危 漏 洞 ， 最 近 的 一 个 高 危 漏 洞 则 是 在 9 月 4 号 被 公 布 。 现 在 ， 还 不 清 楚 B a i r d 的 报 告 中 所 指 的 漏 洞 是 哪 一 个 。
财 富 财 富 5 0 0 强 中 有 强 中 有 6 5 % 的 企 业 受 影 响 的 企 业 受 影 响 9 月 4 号 发 现 的 漏 洞 从 2 0 0 8 年 开 始 就 一 直 存 在 于 S t r u t s 中 ， 该 漏 洞 由 l g t m . c o m 的 安 全 研 究 员 汇 报 ， 编 号 为 C V E - 2 0 1 7 - 9 8 0 5 ， 漏 洞 危 害 程 度 为 高 危 （ C r i t i c a l ） 。 当 用 户 使 用 带 有 X S t r e a m 程 序 的 S t r u t s   R E S T 插 件 来 处 理 X M L   p a y l o a d s 时 ， 可 能 会 遭 到 远 程 代 码 执 行 攻 击 。 在 l g t m . c o m 网 站 的 报 告 中 ， 发 现 该 漏 洞 的 安 全 研 究 员 就 警 告 称 许 多 可 公 开 访 问 的 W e b 应 用 程 序 都 在 使 用 S t r u t s ， 例 如 航 班 订 票 系 统 和 网 上 银 行 系 统 ， 这 种 情 况 下 ， 黑 客 通 过 W e b 浏 览 器 就 能 加 以 利 用 。
报 告 中 说 ： “ 财 富 1 0 0 强 公 司 中 ， 至 少 有 6 5 的 公 司 在 使 用 这 种 用 S t r u t s 框 架 搭 建 的 W e b 应 用 ， 比 如 L o c k h e e d   M a r t i n ,   I R S ， 花 旗 银 行 ， 沃 达 丰 ， 维 珍 航 空 ， 读 者 文 摘 ， O f f i c e   D e p o t 和 S H O W T I M E 等 都 在 用 这 一 框 架 研 发 了 应 用 。 这 足 以 说 明 风 险 分 布 的 范 围 之 广 。 ” 该 漏 洞 对 R E S T 插 件 的 影 响 最 大 ， R E S T 是 开 发 者 用 来 控 制 W e b 请 求 的 插 件 ， 比 如 将 数 据 从 用 户 填 写 的 表 单 发 送 到 服 务 器 。 该 漏 洞 关 系 到 S t r u t s 如 何 解 析 这 类 数 据 并 将 其 转 换 成 J a v a 编 程 语 言 能 读 取 的 信 息 。 一 旦 漏 洞 被 成 功 利 用 ， 黑 客 就 可 能 在 数 据 后 隐 藏 恶 意 代 码 ， 使 S t r u t s 转 换 数 据 时 执 行 这 些 恶 意 代 码 。 这 意 味 着 入 侵 者 可 以 轻 松 地 把 恶 意 软 件 植 入 W e b 服 务 器 中 ， 甚 至 在 不 被 检 测 到 的 情 况 下 就 窃 取 或 删 除 敏 感 数 据 ， 或 是 用 勒 索 软 件 感 染 电 脑 ， 亦 或 是 更 糟 。 L g t m . c o m 网 站 的 一 名 研 究 人 员 M a n   Y u e   M o 认 为 ， 使 用 S t r u t s 的 企 业 应 该 立 刻 升 级 组 件 。 受 影 响 用 户 可 将 软 件 升 级 到 修 复 了 漏 洞 的 最 新 版 本 。 研 究 人 员 表 示 暂 未 发 现 该 对 漏 洞 的 利 用 在 互 联 网 ， 黑 市 或 其 他 地 方 有 扩 散 。 R e d m o n k 行 业 分 析 师 芬 坦 · 瑞 恩 表 示 ， S t r u t s 通 常 用 于 维 护 或 加 强 现 有 应 用 程 序 ， 根 据 企 业 使 用 S t r u t s 的 情 况 统 计 得 出 ， 财 富 5 0 0 强 中 有 6 5 % 的 企 业 潜 在 受 该 漏 洞 影 响 。 E q u i f a x 在 9 月 7 日 的 声 明 中 还 表 示 ， 泄 露 从 5 月 中 旬 持 续 到 7 月 2 9 日 ， 公 司 7 月 2 9 日 发 现 数 据 泄 露 。 被 访 问 的 大 多 数 客 户 信 息 包 含 姓 名 ， 社 会 保 险 号 ， 生 日 ， 地 址 ， 有 些 还 有 驾 照 号 信 息 ， 还 有 2 0 . 9 万 客 户 的 信 用 卡 号 。 另 有 1 8 . 2 万 包 含 个 人 信 息 的 信 贷 纠 纷 文 件 也 被 盗 。 A p a c h e   S t r u t s 关 于 关 于 E q u i f a x 被 入 侵 的 官 方 声 明 被 入 侵 的 官 方 声 明 9 月 9 日 ， A p a c h e   S t r u t s 发 布 了 一 份 关 于 E q u i f a x 被 入 侵 的 官 方 声 明 ， 以 下 是 E 安 全 （ 微 信 公 众 号 ： E 安 全 ） 编 译 的 声 明 全 文 ： A p a c h e   S t r u t s   项 目 管 理 委 员 会 愿 意 就 E q u i f a x 数 据 泄 露 做 出 声 明 ， 因 为 这 与 A p a c h e   S t r u t s   W e b 框 架 有 关 ， 而 且 我 们 在 知 晓 E q u i f a x 遭
受 了 数 据 泄 露 ， 且 盗 取 数 据 者 是 利 用 A p a c h e   S t r u t s   W e b 框 架 后 ， 感 到 非 常 遗 憾 。 目 前 ， 尚 不 清 楚 被 利 用 的 是 哪 一 个 S t r u t s 漏 洞 。 Q u a r t z . c o m 网 站 上 曾 发 表 一 篇 文 章 ， 称 与 C V E - 2 0 1 7 - 9 8 0 5 漏 洞 有 关 ， 而 这 个 漏 洞 是 在 9 月 4 号 公 布 的 ， 随 后 A p a c h e 便 发 布 了 可 修 复 漏 洞 的 S t r u t s 框 架 新 升 级 。 然 而 ， 该 安 全 漏 洞 早 在 7 月 就 以 被 检 测 到 ， 这 意 味 着 要 么 是 E q u i f a x 服 务 器 上 存 在 未 被 及 时 修 复 的 补 丁 ， 要 么 是 攻 击 者 利 用 了 零 日 漏 洞 。 如 果 漏 洞 确 由 C V E - 2 0 1 7 - 9 8 0 5 引 起 ， 那 可 能 是 黑 客 在 利 用 该 漏 洞 时 ， 它 还 只 是 个 零 日 漏 洞 。 因 为 这 篇 文 章 称 C V E - 2 0 1 7 - 9 8 0 5 已 经 存 在 九 年 时 间 。 作 为 A p a c h e   S t r u t s 的 项 目 管 理 委 员 会 想 表 明 的 是 ， 我 们 的 研 发 团 队 为 了 保 障 我 们 产 品 的 安 全 付 出 了 巨 大 努 力 ， 而 且 会 在 第 一 时 间 解 决 问 题 。 按 照 A p a c h e   安 全 政 策 的 要 求 ， 一 旦 我 们 发 现 可 能 存 在 的 安 全 问 题 ， 我 们 就 会 先 私 下 与 报 告 方 合 作 解 决 问 题 ， 并 升 级 产 品 以 修 复 漏 洞 。 然 后 才 会 将 漏 洞 以 及 修 复 的 方 式 告 知 大 众 。 即 便 漏 洞 是 我 们 已 经 知 道 的 ， 我 们 也 会 将 信 息 拦 截 若 干 周 ， 以 便 泄 露 事 件 在 全 球 爆 发 前 他 们 有 足 够 的 时 间 修 复 自 己 的 软 件 。 然 而 ， 由 于 漏 洞 检 测 和 漏 洞 的 利 用 已 经 成 了 专 门 的 产 业 ， 通 过 对 补 丁 做 逆 向 工 程 或 是 扫 描 未 知 漏 洞 ， 是 很 有 可 能 在 我 们 完 全 曝 光 攻 击 向 量 之 前 就 出 现 攻 击 事 件 的 。 考 虑 这 篇 文 章 中 说 C V E - 2 0 1 7 - 9 8 0 5 是 一 个 存 在 9 年 的 漏 洞 ， 读 者 就 必 须 理 解 检 测 一 个 存 在 9 年 的 漏 洞 和 了 解 一 个 存 在 若 干 年 的 漏 洞 并 非 同 一 个 概 念 。 如 果 是 后 者 ， 安 全 团 队 就 不 得 不 花 大 量 精 力 向 公 众 解 释 为 何 没 能 早 一 点 提 供 补 丁 。 但 这 并 非 现 在 的 情 况 — — 我 们 也 只 是 最 近 才 被 告 知 某 段 代 码 可 能 存 在 什 么 问 题 ， 而 后 我 们 便 尽 快 做 了 修 复 。 我 们 所 见 到 的 是 一 起 常 见 的 软 件 工 程 案 例 — — 写 代 码 的 人 是 为 了 实 现 某 种 功 能 ， 可 能 无 法 面 面 俱 到 ， 难 免 留 下 漏 洞 。 一 旦 理 解 了 这 一 层 ， 我 们 就 希 望 所 有 其 他 的 库 和 框 架 持 有 者 也 尽 快 修 复 漏 洞 。 在 C V E - 2 0 1 7 - 9 8 0 5 的 案 例 中 ， 我 们 就 实 现 了 这 一 目 标 。 我 们 对 使 用 A p a c h e   S t r u t s 以 及 其 他 在 其 软 件 产 品 和 服 务 中 存 在 任 何 开 源 或 封 闭 式 库 的 企 业 和 个 人 给 出 如 下 几 点 建 议 ： 1 . 了 解 你 的 软 件 中 使 用 的 是 哪 个 框 架 和 库 ， 分 别 是 什 么 版 本 。 随 时 关 注 该 产 品 和 版 本 的 安 全 公 告 。 2 . 创 建 快 速 修 复 进 程 ， 一 旦 出 于 安 全 原 因 需 要 更 新 框 架 或 库 ， 可 确 保 及 时 更 新 。 最 好 是 在 几 小 时 或 几 天 之 内 ， 而 不 是 几 周 或 几 个 月 的 时 间 。 我 们 所 知 的 大 多 数 泄 露 事 故 都 是 由 于 软 件 的 漏 洞 已 经 公 开 数 月 ， 但 未 及 时 更 新 补 丁 而 造 成 的 。 3 . 任 何 复 杂 的 软 件 都 包 含 漏 洞 。 不 要 在 假 定 软 件 无 漏 洞 的 基 础 上 设 置 安 全 策 略 。 4 . 设 置 安 全 分 层 。 在 面 向 公 众 层 （ 如 A p a c h e   S t r u t s 框 架 ） 之 后 再 额 外 设 置 安 全 层 是 可 取 之 策 。 这 样 即 便 是 在 面 向 公 众 的 层 级 发 生 入 侵 ， 也 不 足 以 让 黑 客 有 能 力 进 入 所 有 后 端 信 息 资 源 。 5 . 对 非 常 规 进 入 公 共 W e b 资 源 的 访 问 设 置 非 常 规 访 问 模 式 监 控 ， 目 前 ， 有 多 种 开 源 和 收 费 产 品 可 以 检 测 这 种 访 问 模 式 并 发 出 警 告 。 对 于 特 别 倚 重 W e b 服 务 的 企 业 ， 我 们 推 荐 这 种 监 控 。 以 上 几 点 有 助 于 阻 止 类 似 E q u i f a x 所 经 历 的 入 侵 事 件 。 R e n é   G i e l e n A p a c h e   S t r u t s 副 总 裁 相 关 解 决 方 案 相 关 解 决 方 案 C V E - 2 0 1 7 - 9 8 0 5 解 决 方 案 ： 在 不 使 用 时 删 除 S t r u t s   R E S T 插 件 ， 或 仅 限 于 服 务 器 普 通 页 面 和 J S O N s ： 限 制 服 务 器 端 扩 展 类 型 ， 删 除 X M L 支 持 。
建 议 升 级 到 S t r u t s   2 . 5 . 1 3 ！ 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 6 4 2 0 5 1 1 9 3 . s h t m l 相 关 阅 读 ： 美 国 选 民 数 据 再 泄 露 ： 1 8 6 万 芝 加 哥 民 众 个 人 信 息 可 公 开 下 载 云 泄 露 ： 《 华 尔 街 日 报 》 母 公 司 道 琼 斯 2 2 0 万 客 户 信 息 外 泄 黑 客 v s 安 全 行 业 ： M a n d i a n t （ F i r e e y e ） 内 部 数 据 惨 遭 泄 露 云 泄 露 ： V e r i z o n 公 司 超 1 4 0 0 万 用 户 信 息 外 泄 美 国 防 承 包 商 博 思 艾 伦 泄 露 五 角 大 楼 相 关 敏 感 文 件 中 国 1 0 亿 用 户 数 据 在 暗 网 出 售 ， 主 要 来 自 腾 讯 、 网 易 、 新 浪 等 互 联 网 公 司 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理