No início de 2015, os pesquisadores de segurança Gabriel Lawrence e Chris Frohoff revelaram uma vulnerabilidade de execução remota de código que poderia ser explorada por meio das coleções Apache Commons. Esta última é apenas uma das bibliotecas Java mais conhecidas e amplamente usadas.
Mais tarde, em 2015, especialistas relataram um problema que tornou os aplicativos Java vulneráveis a falhas de segurança. O motivo foi a maneira como os desenvolvedores lidaram com os dados desserializados fornecidos pelo usuário através da biblioteca Apache.
O que é serialização em Java?
Serialização é o processo de transformar um objeto em uma sequência de bytes que pode ser persistida em um disco ou banco de dados, ou pode ser enviado através de fluxos. O processo inverso de criação de um objeto a partir de uma sequência de bytes é chamado desserialização.
O chamado provisoriamente vulnerabilidade levantou alguma consciência (mas longe de ser suficiente) na comunidade Java. Contudo, já que o problema não era exatamente um bug na biblioteca, nada poderia ser feito, exceto avisar outros desenvolvedores.
70 As bibliotecas incluem as coleções comuns do Apache
A questão é agora ainda maior em escopo, pois 70 outras bibliotecas têm o mesmo problema ao trabalhar com dados desserializados fornecidos pelo usuário. Algumas das bibliotecas mais populares incluem o Apache Hadoop, Apache HBase, OpenJPA, JasperReports, Spring XD, etc.
O problema é que todas essas bibliotecas incluem as coleções comuns do Apache em seus códigos, aplicando funções que manipulam dados desserializados de usuário-fornecedor. É importante observar que isso não torna as bibliotecas vulneráveis. Os problemas aparecem quando esses aplicativos não higienizam os dados fornecidos pelo usuário antes de desserializá-los com um dos 70 bibliotecas.
Os pesquisadores também observam que a detecção de vulnerabilidades de desserialização de Java é uma tarefa complicada. O problema é mais um ponto cego que deixa os pesquisadores em uma posição ruim, já que os atacantes estão começando a se concentrar nos desenvolvedores e no código-fonte aberto que eles gostam de usar..
Aqui está a lista de todas as bibliotecas afetadas:
Clique no acordeão para vê-lo
Referências
SoftPedia
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: