WhiteHat News #ID:2017
VIP Members
-
20/03/2017
-
113
-
356 bài viết
Lỗ hổng nghiêm trọng của Apache Struts2 cho phép hacker điều khiển các web server
Các chuyên gia an ninh đã phát hiện một lỗ hổng thực thi mã từ xa nghiêm trọng trong bộ khung ứng dụng web nổi tiếng Apache Struts, cho phép hacker chạy từ xa mã độc trên các máy chủ bị ảnh hưởng.
Apache Struts là bộ khung mã nguồn mở miễn phí áp dụng kiến trúc Model-View-Controller (MVC) cho việc phát triển các ứng dụng web bằng ngôn ngữ lập trình Java, hỗ trợ REST, AJAX và JSON.
Lỗ hổng CVE-2017-9805 là một lỗi lập trình trong cách thức Struts xử lý dữ liệu từ một nguồn không đáng tin cậy. Cụ thể, plugin của Struts REST không xử lý được các payload XML trong khi chuyển dữ liệu từ dạng XML thành các object (deserialize).
Tất cả các phiên bản của Apache Struts từ năm 2008, cụ thể là từ Struts 2.5 đến Struts 2.5.12 đều bị ảnh hưởng, dẫn đến việc tất cả các ứng dụng web dùng plugin REST của bộ khung này đều có thể bị khai thác lỗ hổng.
Theo một chuyên gia tại LGTM đã phát hiện lỗi trên, rất nhiều tổ chức khác nhau trên thế giới như Lockheed Martin, Vodafone, Virgin Atlantic và IRS đang dùng bộ khung Struts. Bên cạnh đó, chuyên gia này khẳng định rất dễ dàng khai thác điểm yếu này: hacker chỉ cần một trình duyệt web.
Tất cả những gì mà hacker cần là submit một mã XML chứa mã độc dưới một định dạng cụ thể để khai thác lỗ hổng trên máy chủ đang bị nhắm đến.
Nếu khai thác lỗ hổng thành công, hacker có thể hoàn toàn kiểm soát máy chủ bị ảnh hưởng, từ đó thâm nhập vào các hệ thống khác trong cùng một mạng.
Lỗ hổng deserialization không an toàn trong Java này tương tự với một lỗ hổng trong Apache Commons Collections, được phát hiện vào năm 2015 khi cho phép thực thi mã tùy ý.
Có nhiều ứng dụng Java bị ảnh hưởng bởi các lỗ hổng tương tự trong những năm gần đây.
Lỗ hổng trên đã được cập nhật bản vá trong Struts version 2.5.13 nên các admin đặc biệt được khuyến cáo nên nâng cấp cài đặt Apache Struts càng sớm càng tốt.
Hiện các thông tin kỹ thuật chi tiết cũng như minh chứng khai thác lỗ hổng vẫn chưa được các nhà nghiên cứu công bố thêm. Điều này cho phép các admin có đủ thời gian để nâng cấp hệ thống của mình.
Lỗ hổng CVE-2017-9805 là một lỗi lập trình trong cách thức Struts xử lý dữ liệu từ một nguồn không đáng tin cậy. Cụ thể, plugin của Struts REST không xử lý được các payload XML trong khi chuyển dữ liệu từ dạng XML thành các object (deserialize).
Tất cả các phiên bản của Apache Struts từ năm 2008, cụ thể là từ Struts 2.5 đến Struts 2.5.12 đều bị ảnh hưởng, dẫn đến việc tất cả các ứng dụng web dùng plugin REST của bộ khung này đều có thể bị khai thác lỗ hổng.
Theo một chuyên gia tại LGTM đã phát hiện lỗi trên, rất nhiều tổ chức khác nhau trên thế giới như Lockheed Martin, Vodafone, Virgin Atlantic và IRS đang dùng bộ khung Struts. Bên cạnh đó, chuyên gia này khẳng định rất dễ dàng khai thác điểm yếu này: hacker chỉ cần một trình duyệt web.
Tất cả những gì mà hacker cần là submit một mã XML chứa mã độc dưới một định dạng cụ thể để khai thác lỗ hổng trên máy chủ đang bị nhắm đến.
Nếu khai thác lỗ hổng thành công, hacker có thể hoàn toàn kiểm soát máy chủ bị ảnh hưởng, từ đó thâm nhập vào các hệ thống khác trong cùng một mạng.
Lỗ hổng deserialization không an toàn trong Java này tương tự với một lỗ hổng trong Apache Commons Collections, được phát hiện vào năm 2015 khi cho phép thực thi mã tùy ý.
Có nhiều ứng dụng Java bị ảnh hưởng bởi các lỗ hổng tương tự trong những năm gần đây.
Lỗ hổng trên đã được cập nhật bản vá trong Struts version 2.5.13 nên các admin đặc biệt được khuyến cáo nên nâng cấp cài đặt Apache Struts càng sớm càng tốt.
Hiện các thông tin kỹ thuật chi tiết cũng như minh chứng khai thác lỗ hổng vẫn chưa được các nhà nghiên cứu công bố thêm. Điều này cho phép các admin có đủ thời gian để nâng cấp hệ thống của mình.
Theo Hackernews
