別の日, 別のゼロデイ. 今回, セキュリティ研究者は、高齢者のためのバイパスを発見しました ゼロデイ, リモートコード実行 SpringCoreフレームワークの欠陥, 概念実証エクスプロイトがGitHubにリークされた直後. Spring Coreは、JavaWebアプリケーションを構築するための広く知られているJavaフレームワークです。.
CVEのバイパス-2010-1622ゼロデイ攻撃が利用可能
サイバーセキュリティ会社Praetorianによると, JDK9+上のSpringCoreは、CVE-2010-1622の脆弱性を回避するため、リモートでコードが実行される傾向があります.
「執筆時点で, この脆弱性はSpringFrameworkでパッチが適用されておらず、公開されている概念実証が利用可能です。,」研究者は言った.
特定の構成で, CVE-2010-1622の悪用は簡単です, 攻撃者が巧妙に細工されたHTTPリクエストを公開されたシステムに送信するだけでよいため. でも, さまざまな構成を活用する, 脅威の攻撃者は、効果的なペイロードを見つけるためにさらに調査する必要があります. エクスプロイトが成功した場合, 認証されていない攻撃者は、標的のシステム上で任意のコードを実行する可能性があります.
幸運, 改善策があります, 一時的な緩和策, 脆弱な状態を修正する:
“SpringFrameworkで, DataBinderには、特定のパターンを禁止する機能があります. この脆弱性の一時的な緩和策として, Praetorianは、ControllerAdviceコンポーネントを作成することを推奨しています (これは、コントローラー間で共有されるSpringコンポーネントです。) 拒否リストに危険なパターンを追加する”, 研究者 追加した.
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: