修复反序列化漏洞的难点
上周有报道称，Equifax 数据泄露事件的潜在原因之一是 Apache Struts REST 插件中存在漏洞。当该插件的旧版本配合 XStream 处理程序处理 XML 负载时，极易遭受远程代码执行攻击。其根本原因是不可信数据反序列化，这是一种广为人知的漏洞类型。该漏洞被正式编号为CVE-2017-9805，Apache 已于 9 月 5 日在 Struts 2.5.13 版本中进行了修复。随后，Apache 在其官方文档中对此进行了公告并作出了明确说明。
仅仅升级到最新的 Struts 版本就能保护应用程序免受此类攻击，那么为什么企业不立即升级呢？反序列化漏洞的棘手之处在于，被利用的例程往往是应用程序代码所依赖的核心部分。在这种情况下，应用新的 Struts 补丁可能会产生副作用，正如该漏洞的文档所提到的：“由于对可用类实施了默认限制，某些 REST 操作可能会停止工作。”要确保应用程序在较新版本的 Struts 上持续正常运行，很可能需要耗费不少时间。
然而，黑客利用已发布漏洞的速度远超预期，我们已经看到一些漏洞利用程序被公开。9 月 8 日，即 Apache 修复漏洞的三天后，Metasploit 就增加了一个模块。推迟补丁更新显然不是明智之举！
解决方案是实施 Apache 建议的变通方法，这可以在更短的时间内完成。如果安全工具具备可配置的编码准则来强制执行此变通方法，甚至能自动应用它，将大大加快这一进程。
想了解更多关于如何识别和保护包含不可信数据反序列化的代码吗？请访问 Secure Code Warrior 门户网站，获取清晰的讲解与实战挑战。
该漏洞与 Struts 解析此类数据并将其转换为 Java 编程语言可解释信息的方式有关。当漏洞被成功利用时，恶意代码可以隐藏在这些数据中，并在 Struts 尝试转换数据时被执行。
https://qz.com/1073221/the-hackers-who-broke-into-equifax-exploited-a-nine-year-old-security-flaw/
在 AI 驱动的开发成果发布前实现有效治理
评估 AI 辅助风险，在提交代码时强制执行安全编码策略，并加速整个软件开发生命周期的安全交付。
探索更多博客
获取有关安全编码、人工智能治理和软件风险管理的专家内容。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
.avif)
在产品发布前确保 AI 驱动的开发安全
洞察开发风险，执行安全策略，并在整个软件开发生命周期中预防漏洞。
