Chodzi o CVE-2021-31805 (niech Was nie zmyli rok w nazwie, podatność załatano co dopiero). Niby wcześniej załatano już CVE-2020-17530, no właśnie – „niby” bo udało się znaleźć obejście: Late last year, 2020, a fix for a remote code execution (RCE) vulnerability discovered by Alvaro Munoz and Masato Anzai, was published…
Czytaj dalej »
Raczej nikt nie chwali się wynikami analizy powłamaniowej, szczególnie gdy jest ona druzgocąca. Ale inaczej jest w przypadku Equifax. Przypomnijmy – w wyniku naruszeń bezpieczeństwa wyciekło niemal 150 milionów rekordów danych osobowych. Dodatkowo – około 200 000 numerów kart kredytowych. Obecnie mamy dostępny rządowy raport opisujący szczegóły incydentu. Polecam zerknąć przynajmniej…
Czytaj dalej »
F5 donosi o nowej, dość zaawansowanej kampanii o kryptonimie Zealot. Tym razem celem są zarówno hosty Windowsowe jak i Linuksowe, potrafi się też rozpowszechniać wewnątrz sieci. Warto zaznaczyć że wykorzystane są względnie świeże exploity (z tego roku) – zdalne wykonanie kodu w bibliotece Struts2 – tutaj wystarczy przesłać odpowiednio spreparowany…
Czytaj dalej »
Struts to popularna biblioteka (framework?), znana zapewne wielu fanom Javy. Znana jest ona również badaczom bezpieczeństwa, bowiem historia podatności jest tutaj dość pokaźna. Co ma XML do zdalnego wykonania kodu? Otóż podatność zasadza się na wykorzystaniu automatycznie wykorzystywanej deserializacji XML-a, przez komponent XStream wykorzystywany w Struts2. Ale o RCE czającym się…
Czytaj dalej »
Tytuł może być nieco mylący, bo chodzi nie tyle o aktualizowanie czy łatanie samej aplikacji, ale o monitorowanie wersji biblioteki Struts (czy ogólnie bibliotek). Popularny Apache Struts, właśnie załatał podatność umożliwiającą wykonanie kodu w OS na serwerze. Tymczasem w sieci realizowane są już próby exploitowania buga: Co robić? Po pierwsze…
Czytaj dalej »
Popularna biblioteka Stuts2, w ostatnim czasie zaliczyła kilka podatności klasy Remote Code Execution, z czego część doczekała się nawet modułu w Metasploicie. Przed naciśnięciem przycisku >panic< oczywiście warto wczytać się w szczegóły błędu, i sprawdzić choćby czy w naszym przypadku jest jak w opisie podatności – czyli atak nie wymaga…
Czytaj dalej »
Opis wykorzystania zeszłorocznej podatności z frameworku Struts: CVE-2014-0112.
Czytaj dalej »
Niedawno bez większych fanfarów ogłoszono End-of-Life popularnej biblioteki Apache Struts 1. Co to oznacza? Na przykład brak aktualizacji bezpieczeństwa w Struts1: Given a major security problem or a serious bug is reported for Struts 1 in near future, can we expect a new release with fixes? As of now, actually…
Czytaj dalej »
