Die Schwierigkeit beim Patchen von Deserialisierungsschwachstellen
Letzte Woche wurde berichtet, dass eine mögliche Ursache für den Equifax-Datendiebstahl eine Schwachstelle im Apache Struts REST-Plugin war. Die ältere Version des Plugins ist anfällig für Remote Code Execution-Angriffe, wenn sie mit dem XStream-Handler zur Verarbeitung von XML-Payloads verwendet wird. Die Ursache ist die Deserialisierung nicht vertrauenswürdiger Daten, eine bekannte Schwachstellenart. Die Schwachstelle, offiziell als CVE-2017-9805 geführt, wurde von Apache am 5. September in der Struts-Version 2.5.13 behoben. Dies wurde anschließend bekannt gegeben und klar in der Apache Struts-Dokumentation dokumentiert.
Ein einfaches Upgrade auf die neueste Struts-Version kann die Anwendung vor diesem Angriff schützen. Warum führen Unternehmen das Upgrade also nicht sofort durch? Das Problem bei Deserialisierungsschwachstellen ist, dass die ausgenutzten Routinen oft solche sind, auf die der Anwendungscode angewiesen ist. In diesem Fall kann das Einspielen des neuen Struts-Patches Nebenwirkungen haben, wie die Dokumentation zur Schwachstelle erwähnt: „Es ist möglich, dass einige REST-Aktionen aufgrund der angewendeten Standardbeschränkungen für verfügbare Klassen nicht mehr funktionieren.“ Es ist sehr wahrscheinlich, dass es einige Zeit in Anspruch nimmt, sicherzustellen, dass die Anwendung mit neueren Struts-Versionen weiterhin funktioniert.
Hacker benötigen jedoch nicht so viel Zeit, um veröffentlichte Schwachstellen auszunutzen, und wir können bereits einige veröffentlichte Exploits sehen. Ein Metasploit-Modul wurde am 8. September hinzugefügt, also drei Tage nachdem Apache die Schwachstelle behoben hatte. Das Aufschieben von Patches ist definitiv keine gute Idee!
Die Lösung besteht darin, einen von Apache vorgeschlagenen Workaround zu implementieren, was in kürzerer Zeit möglich wäre. Ein Sicherheitstool mit konfigurierbaren Coding-Richtlinien, das diesen Workaround erzwingt oder sogar automatisch anwendet, würde diesen Prozess erheblich beschleunigen.
Möchten Sie mehr darüber erfahren, wie Sie Code identifizieren und absichern, der die Deserialisierung nicht vertrauenswürdiger Daten enthält? Besuchen Sie das Secure Code Warrior-Portal für eine klare Erklärung und eine Trainingsaufgabe.
Die Schwachstelle betrifft die Art und Weise, wie Struts diese Daten analysiert und in Informationen umwandelt, die von der Programmiersprache Java interpretiert werden können. Wird die Schwachstelle erfolgreich ausgenutzt, kann bösartiger Code in solchen Daten versteckt und ausgeführt werden, sobald Struts versucht, diese zu konvertieren.
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
Kontrollieren Sie KI-gestützte Entwicklung, bevor sie in Produktion geht
Bewerten Sie KI-gestützte Risiken, setzen Sie Richtlinien für sicheren Code direkt beim Commit durch und beschleunigen Sie die sichere Bereitstellung über Ihren gesamten SDLC hinweg.
Weitere Blogs entdecken
Erhalten Sie Zugang zu Experteninhalten über sichere Programmierung, KI-Governance und Software-Risikomanagement.
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
Eine Sicherheitskultur: Wie Sage sein Champions-Programm aufgebaut hat
Erfahren Sie, wie Sage die Sicherheit durch einen flexiblen, beziehungsorientierten Ansatz gestärkt, über 200 Security Champions ausgebildet und eine messbare Risikoreduzierung erzielt hat.
Cybersecurity Awareness Month 2026: Das Verständnis von KI-Sicherheit ist entscheidend für die Unternehmensverteidigung
Wir haben einen Punkt erreicht, an dem die meisten führenden KI-Unternehmen öffentlich eine weltweite Verlangsamung der KI-Entwicklung gefordert haben, damit die Sicherheitsvorkehrungen Schritt halten können. Doch die Wahrheit ist: Ernsthafte Sicherheitsprobleme sind bereits Realität geworden. Dies bringt unzählige Sicherheitsverantwortliche und Führungsteams in eine dringliche Lage, da die finanziellen Kosten und Risiken durch die Implementierung von KI stetig steigen.
Enabler 8: Branding für Ihr Programm
Ein Programm für sicheres Programmieren braucht mehr als nur großartige Inhalte, um erfolgreich zu sein. Enabler 8 zeigt, wie Branding die Teilnahme zu einem begehrten, statusorientierten Erlebnis macht.
.avif)
Jeder Mitarbeiter steht jetzt an vorderster Front der KI-Cybersicherheit
Die Unternehmenslandschaft wandelt sich mit einer Geschwindigkeit, die kaum jemand vorhergesehen hat, bis es zu spät war. Wir haben offiziell die Schwelle von handgeschriebenem Code und einfacher Copilot-Unterstützung hin zur Ära des Agentic Development Lifecycle (ADLC) überschritten. Während autonome KI-Agenten eine beispiellose Effizienz in vielen Bereichen versprechen, bringen sie auch eine völlig neue Klasse von Sicherheits- und Regulierungsrisiken mit sich.
Sichere KI-gestützte Entwicklung vor dem Release
Erkennen Sie Entwicklerrisiken, setzen Sie Richtlinien durch und verhindern Sie Schwachstellen über den gesamten Softwareentwicklungszyklus hinweg.
