Nul
(Billede: Wikimedia Commons; file foto)
En kritisk sårbarhed i open-source server softwaren gør det muligt for hackere nemt tage kontrol over en server, der påvirkes — at sætte følsomme virksomhedsdata i fare.
Sårbarheden gjorde det muligt for en hacker at køre kode på servere, der kører programmer med RESTEN plugin, der er bygget med Apache Stivere, ifølge sikkerhedspolitiske forskere, der opdagede sårbarhed.
Alle versioner af Struts siden 2008 er påvirket, siger forskerne.
Apache Stivere bruges på tværs af Fortune 100 til at give web-applikationer i Java, og det magter front – og back-end applikationer. Man Yue Mo, en sikkerhedsekspert hos LGTM, der ledede indsats, der førte til fejlen opdaget, sagde, at Struts er brugt i mange offentligt tilgængeligt web-applikationer, som sælger flybilletter og internet banking-systemer.
Mo sagde, at alle en hacker behov “er en web-browser.”
“Jeg kan ikke understrege nok, hvor utroligt nemt det er at udnytte,” sagde Bas van Schaik, product manager hos Semmle, et selskab, hvis analytiske software blev brugt til at opdage den sårbarhed.
“Hvis du ved, hvad anmodning om at sende, kan du starte en proces på den web-server, der kører en sårbar anvendelse,” sagde han.
Den sårbarhed, som er forårsaget af, hvordan Struts deserializes upålidelige data, Mo sagde. En angriber kan udnytte fejlen til at køre en kommando på et berørt Struts server, selv bag en virksomheds firewall. “Hvis serveren indeholder et kunde-eller bruger data, er det ikke svært overhovedet at indsamle data og overføre det til et andet sted,” van Schaik sagde. Angriberen kan også bruge den server, som en indgang til andre dele af netværket, effektivt uden for virksomhedens firewall og få adgang til andre skærmet-off områder af virksomheden, sagde han.
“En hacker kan udnytte sårbarheden til at finde de legitimationsoplysninger for at oprette forbindelse til database-serveren, og udtrække alle data,” sagde han. Hvad værre er, han tilføjede, at en hacker kunne slette data.
“En kreativ angriber vil have et felt dag,” sagde han. “Og endnu værre: Den organisation, der er under angreb, kan ikke engang mærke til, før det er for sent.”
En exploit er blevet udviklet af sikkerheds-forskere, men er ikke blevet frigivet at give virksomhederne tid til at lappe deres systemer. Han sagde, at han ikke er klar over enhver der udnytter den svaghed, men advarede om, at han forventer, at dette vil ændre sig “inden for et par timer” af bug ‘ s oplysninger bliver gjort offentlige.
“Virksomheder kan faktisk kamp for at løse deres infrastruktur,” van Schaik sagde.
En kilde kode fix blev udgivet nogle uger før, og Apache udgivet en fuld patch på tirsdag for at løse sårbarhed.
Men mange virksomheder vil være sårbar over for angreb, indtil deres systemer er lappet.
Flere offentlige hjemmesider, herunder IRS og California ‘ s Deptartment af Motordrevne Køretøjer, sammen med andre store multinationale selskaber, såsom Virgin Atlantic og Vodafone, skal du bruge softwaren, og som potentielt kan blive påvirket af den svaghed, — men van Schaik sagde, at listen var “toppen af isbjerget.”
Så mange som 65 procent af Fortune 500 er potentielt berøres af den sårbarhed, sagde Fintan Ryan, en industri analytiker hos Redmonk, i en e-mail.
Ryan sagde, at figuren var baseret på de kendte brug af Struts på tværs af Fortune 100, og som udvikler målinger og ansættelse af data. Han sagde, at Struts anvendes typisk til at opretholde eller forøge eksisterende applikationer, snarere end nyere web-applikationer.
Der er ingen bestemt måde for sikkerhed forskere eller angribere til eksternt teste, om en server er sårbare, uden at udnytte sårbarheden.
“Det viser sig, at der er ingen anden vej end at annoncere sårbarhed offentligt og understrege, hvor vigtigt det er, at folk opgradere deres Stivere komponenter,” van Schaik sagde.
“Der er simpelthen ingen anden måde at nå ud til de virksomheder, der er berørt,” sagde han.
Kontakt mig sikkert
Zack Whittaker kan nås sikkert på Signal og WhatsApp på 646-755-8849, og hans PGP fingeraftryk til e-mail er: 4D0E 92F2 E36A EC51 DAAE 5D97 CB8C 15FA EB6C EEA5.
Læs Mere
ZDNET UNDERSØGELSER
Lækket TSA dokumenter afslører New York airport ‘ s bølge af sikkerhed bortfalder
Den AMERIKANSKE regering skubbet tech firmaer, til at udlevere kildekoden
Ved den AMERIKANSKE grænse: Diskrimineret, tilbageholdt, søgte forhørt
Millioner af Verizon kunde registreringer, der vises i sikkerhed bortfalder
Mød den dunkle tech mæglere at levere dine data til NSA
Inde i den globale terror-overvågningsliste, der hemmeligt skygger millioner
FCC-formand stemte for at sælge dine browserdata — så vi bad om at se hans
Med en enkelt telefonaflytning for de AMERIKANSKE myndigheder lyttede på 3,3 mio telefonopkald
198 millioner Amerikanere er ramt af ” største nogensinde fra vælgerne, registreringer lækage
Storbritannien har bestået den “mest ekstreme overvågning lov, der nogensinde er gået i et demokrati”
Microsoft siger, at “ingen kendte ransomware’ kører på Windows-10 S — så vi har forsøgt at hacke det
Lækket dokument, der afslører BRITISKE planer for større internet-overvågning
0