Begin 2015, de beveiliging onderzoekers Gabriel Lawrence en Chris Frohoff bleek een Remote Code Execution kwetsbaarheid die via de Apache Commons Collecties kunnen worden benut. De laatste is een van de meest bekende en veel gebruikte Java bibliotheken.
Later in 2015, experts meldde een probleem dat maakte Java apps kwetsbaar voor gaten in de beveiliging. De reden was de manier waarop ontwikkelaars behandeld door de gebruiker geleverd gedeserialiseerde gegevens via de Apache bibliotheek.
Wat is Serialization in Java?
Serialisatie is het proces van het omzetten van een object in een reeks bytes die kunnen worden bleef een schijf of database, of kunnen door middel van streams worden verzonden. Het omgekeerde proces van het creëren van een object uit een opeenvolging van bytes is genoemd deserialisatie.
De voorlopig genaamd kwetsbaarheid heeft enig besef gerezen (maar verre van genoeg) in de Java-gemeenschap. Echter, aangezien de kwestie was niet echt een bug in de bibliotheek, niets kan worden gedaan, behalve waarschuwen andere ontwikkelaars.
70 Bibliotheken Inclusief de Apache Common Collecties
De kwestie is nu nog groter in omvang sinds 70 andere bibliotheken hebben hetzelfde probleem bij het werken met de gebruiker geleverd gedeserialiseerde gegevens. Enkele van de meest populaire bibliotheken onder Apache Hadoop, Apache HBase, OpenJPA, JasperReports, Spring XD, etc.
Het probleem is dat al deze bibliotheken onder de Apache Common Collecties in hun code, dus het aanbrengen van functies hanteren gebruiksvriendelijke leverancier gedeserialiseerd data. Het is belangrijk op te merken dat dit niet de bibliotheken kwetsbaar. Kwesties verschijnen wanneer dergelijke toepassingen niet door de gebruiker verstrekte gegevens ontsmetten voordat deserialize het met één van de 70 bibliotheken.
De onderzoekers merken ook op dat het opsporen van Java deserialisatie kwetsbaarheden is een lastige baan. Het probleem is meer van een blinde vlek dat onderzoekers laat in een slechte positie, omdat aanvallers nu beginnen te richten op ontwikkelaars en de open source-code die ze willen gebruiken.
Hier is de lijst van alle betrokken bibliotheken:
Klik op de accordeon om het te bekijken
Referenties
SoftPedia
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: