搜索

[9532] 2015-11-12_JAVA之殇一个影响广泛的Java工具集RCE漏洞

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-17
2015-11-12_JAVA之殇一个影响广泛的Java工具集RCE漏洞 J A V A 之 殇   |   一 个 影 响 广 泛 的 J a v a 工 具 集 R C E 漏 洞 F r e e B u f   2 0 1 5 - 1 1 - 1 2 一 月 份 ， 安 全 研 究 人 员 G a b r i e l   L a w r e n c e 和 C h r i s   F r o h o f f 公 布 了 一 个 影 响 范 围 相 当 广 的 A p a c h e   C o m m o n s 工 具 集 远 程 代 码 执 行 （ R C E ） 漏 洞 ， 由 于 A p a c h e   C o m m o n s 工 具 集 几 乎 是 J A V A 技 术 平 台 中 应 用 的 最 广 泛 的 工 具 库 ， 因 此 影 响 几 乎 遍 及 整 个 J A V A 阵 营 。 但 是 由 于 漏 洞 非 常 高 深 且 难 以 理 解 ， 尽 管 研 究 人 员 们 尽 了 最 大 的 努 力 呼 吁 人 们 引 起 注 意 ， 在 漏 洞 公 开 后 近 乎 一 年 内 该 问 题 仍 未 得 到 广 泛 重 视 。 近 日 ， 知 名 博 客 M a t t h i a s   K a i s e r 在 节 目 中 重 谈 该 问 题 ， 并 让 F o x g l o v e 安 全 公 司 的 S t e v e   B r e e n 通 过 快 速 演 示 来 让 了 解 该 R C E 漏 洞 的 危 害 性 。 在 演 示 中 ， B r e e n 通 过 A p a c h e   C o m m o n s 工 具 集 R C E 漏 洞 快 速 破 解 了 数 个 应 用 ， 包 括 W e b L o g i c 、 I B M   W e b S p h e r e 、 J B o s s 、 J e n k i n s 和 O p e n N M S 在 内 的 应 用 ， 这 些 应 用 都 大 量 调 用 了 C o m m o n s 工 具 集 ， 通 过 远 程 代 码 执 行 能 够 对 这 些 应 用 发 起 远 程 攻 击 。 虽 然 A p a c h e   C o m m o n s 工 具 集 并 不 是 J a v a 核 心 之 一 ， 但 由 于 J A V A 中 需 要 通 过 调 用 A p a c h e   C o m m o n s 工 具 集 等 J a v a 库 进 行 “ 对 象 的 反 串 行 化 处 理 （ o b j e c t   d e s e r i a l i z a t i o n   o p e r a t i o n s ） ” ， 同 时 能 够 不 被 作 为 第 三 方 工 具 对 待 ， 由 于 在 J a v a 中 串 行 化 和 反 串 行 化 数 据 是 被 最 普 遍 使 用 的 实 例 ， A p a c h e   C o m m o n s 工 具 集 又 几 乎 是 J A V A 技 术 平 台 中 应 用 的 最 广 泛 的 工 具 库 ， 因 此 影 响 可 谓 非 常 广 。 最 新 的 A p a c h e   C o m m o n s 工 具 集 库 仍 为 2 0 1 3 年 1 1 月 发 布 的 4 . 0 版 本 ， B r e e n 为 该 漏 洞 提 供 了 一 个 较 简 陋 的 修 复 ， 但 是 遗 憾 的 是 并 不 能 作 为 完 美 解 决 方 案 。 B r e e n 也 承 认 自 己 的 修 复 有 点 简 陋 ， 希 望 该 漏 洞 能 够 引 起 更 多 人 的 重 视 。 *   参 考 来 源 ： c n B e t a   ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理