Struts2 पर हमला हो रहा है या CVE-2013-2115

मैं उन लोगों के लिए एक छोटी सी पोस्ट लिखना चाहता हूं जिनके पास Struts2 प्रोजेक्ट हैं। दोस्तों, यदि आप CERT न्यूज़लेटर और मेरे ट्विटर अकाउंट को नहीं पढ़ते हैं (ठीक है, तो मैं इसे माफ कर सकता हूँ ...), और अपडेट के बारे में Struts2 न्यूज़लेटर पर ध्यान न दें, तो यह सोचें, यह कहानी आपके लिए है।

प्रारंभ।

यह कहानी 16 जुलाई से शुरू हुई। मैं शांति से मेट्रो में सवार हुआ और इसहाक असिमोव को पढ़ा, जैसा कि वे कहते हैं, कुछ भी परेशानी का चित्रण नहीं है। इस बीच, मैंने कॉर्पोरेट मेल की जांच करने का फैसला किया, और चीनी कार्यालय से हमारे लोगों का एक पत्र मिला। दोस्तों ने कहा कि आज स्ट्रट्स 2 में एक भेद्यता के बारे में एक संदेश था, भेद्यता ने किसी भी व्यक्ति को अनुमति दी जो एक वेब सेवा के अधिकारों के साथ सर्वर पर पूर्ण रिमोट कंट्रोल (मनमाने कोड को निष्पादित करना) प्राप्त करना चाहता था। पेल्खसे लोग ... करंट का दिन शुरू हो गया है। ठीक है, लेकिन इसके अलावा, हमारे लोगों को चीनी हैकर फोरम से इस बारे में पता चला, जहां अन्य मजाकिया लोगों ने "एक बटन क्लिक किया और इंटरनेट को हैक किया" जैसे पूर्ण-शोषण का पोस्ट किया, जिसका अर्थ है कि अब ये सभी मजाकिया लोग इस दुर्भाग्यपूर्ण इंटरनेट को तोड़ना शुरू कर देंगे। यह विशेष रूप से सुखद नहीं है जब आपको पता चलता है कि हमारे पास कई सेवाएं हैं जो इस ढांचे पर आधारित हैं। अपने पैर को मरोड़ते हुए, मैंने रचना की गति को मानसिक रूप से तेज कर दिया। और अब मैं कार्यालय में भागता हूं, लैपटॉप चालू करता हूं। हाँ वास्तव में - विक्रेता से सलाह - http://struts.apache.org/release/2.3.x/docs/s2-016.html । हां, दोस्तों ने अपने संदेश में थोड़ा फसाना उदाहरण भी जोड़ा। और ... यह फिर से ओजीएनएल है ... स्ट्रट्स 2 को ओएनजीएन के साथ अनन्त समस्याएं हैं:

http://blog.o0o.nu/2010/07/cve-2010-1870-struts2xwork-remote.html (2010)
http://blog.o0o.nu/2012/01/cve-2011-3923-yet-another-struts2.html (2011)
https://communities.coverity.com/blogs/security/2013/05/29/struts2-remote-code-execution-via-ognl-injection (2013, मई)

और फिर फिर से ... ठीक है। लेकिन इस बार, मामला समय से सीमित है - चीनी मंच पर, जनता में उपलब्ध है - "सभी के लिए शोषण" - http://kuxoo.com/archives/260/ ।

विभाजन का एक उदाहरण जो चित्रलिपि के साथ लिंक नहीं खोलेगा - अपने लॉग में देखें:

localhost/Struts2/test.action?redirect:${#a=(new java.lang.ProcessBuilder(new java.lang.String[]{'netstat'})).start(),#b=#a.getInputStream(),#c=new java.io.InputStreamReader(#b),#d=new java.io.BufferedReader(#c),#e=new char[50000],#d.read(#e),#matt=#context.get('com.opensymphony.xwork2.dispatcher.HttpServletResponse'),#matt.getWriter().println(#e),#matt.getWriter().flush(),#matt.getWriter().close()}

इसका क्या मतलब है? और तथ्य यह है कि समय सेकंड से चला गया है। उसी समय, मुझे आशा है कि आप समझ गए हैं कि आप परीक्षण और अन्य प्रक्रियाओं के बिना उत्पादन सेवाओं पर स्ट्रट्स 2 से अपडेट प्राप्त कर सकते हैं, इसके अलावा, विभिन्न क्षेत्रों में अलग-अलग समय क्षेत्र। ये सभी सामान्य कामकाजी क्षण हैं, एक रास्ता या दूसरा जहाँ भी संभव था - फ़िक्सेस रोल किए गए थे, अन्य स्थानों पर IPS / WAF को समायोजित किया गया था, तीसरे स्थान पर सेवा फ़िल्टर में - सामान्य फैसलों में कि कैसे एक खतरे को रोका जाए - बहुत कुछ, सब कुछ इस तरह से किया गया था, जिससे बचाव करना संभावित हमले।

17 वीं, हमारी सीमाओं पर एक दुश्मन की खोज की गई थी। ज्यादातर चीनी आईपी पते। यह इस विशेष भेद्यता के लिए असफल रूप से स्कैन किया गया था। यह पता चला है कि पैच जारी होने के समय से घुसपैठ को रोकने के लिए प्रतिक्रिया का समय 1 दिन था और निर्णायक था। चीनी सभी ने एक ही शोषण का उपयोग किया, जिसे चर मैट द्वारा निर्धारित किया जा सकता है। यद्यपि ओजीएनएल अभिव्यक्तियों के माध्यम से कोड को कैसे निष्पादित किया जाए, इसके लिए बहुत सारे विकल्प हैं, लगभग सभी जावा की शक्ति हमलावर के हाथों में है।

इंटरनेट प्रतिक्रिया

इस समय, इंटरनेट - ब्लॉग जगत में, समाचार में, और यहां तक ​​कि ट्विटर पर भी शांत था। यह आईबी समुदाय के समान नहीं है - बहुत शांत, स्ट्रट्स 2 की लोकप्रियता को देखते हुए, यह अजीब है। मैंने इस विषय के बारे में ट्वीट किया, लेकिन यह शांत था, केवल कुछ सहयोगियों ने कहा कि वे ताकत और मुख्य के साथ वापस लड़ रहे थे।
थोड़ी देर बाद (21 या 22 तारीख को), डेवलपर.apple.com के हैक होने की खबर से हड़कंप मच गया। मैंने ध्यान नहीं दिया, तभी मुझे अचानक एहसास हुआ कि डेवलपर पोर्टल Struts2 पर था। जाहिरा तौर पर वे उन्हें इस तरह से मिला ... बेशक, एक खबर थी कि एक शोधकर्ता ने भेद्यता की सूचना दी थी, लेकिन मुझे विश्वास नहीं हुआ। सबसे अधिक संभावना है, इस आदमी ने चीनी सार्वजनिक विभाजन को दोहराया, और एक बग की सूचना दी, लेकिन उससे पहले, सर्वर को पहले ही हैक कर लिया गया था। अन्यथा, वे इतने लंबे समय तक डिस्कनेक्ट नहीं होते। और फिर इस आदमी ने अपने प्रिय के सम्मान में पीआर अभियान को क्रैक करने का फैसला किया, वे कहते हैं कि उसने एप्पल को हैक कर लिया। 24 वीं -25 वीं के क्षेत्र में, यह मेरे लिए दिलचस्प हो गया, एटी ऑल्ट ने कम से कम किसी को खुद को खरोंच और तय किया।
उदाहरण के लिए, एक बड़े बेलारूसी बैंक ने केवल 25 तारीख को तय किया है। आप यहां QIWI के बारे में पढ़ सकते हैं - http://habrahabr.ru/company/qiwi/blog/187724/#comment_6524512 । रूस में बाकी सब शांत और चिकना है। सरकारी आदेशों की मिली हुई व्यवस्था कमजोर है। व्यक्तिगत और अधिक दिलचस्प आंकड़ों के एक समूह के साथ रूसी संघ के मंत्रालय की एक महत्वपूर्ण सेवा, असुरक्षित है। किस तरह के साइबर युद्ध के बारे में बात की जा सकती है, लुकात्स्की ने अपने ब्लॉग में इस बारे में नहीं लिखा था - और उसके साथ अंजीर, लेकिन यह तथ्य कि चीनी कॉमरेड शीर्ष पर बैकडोर डाल रहे हैं - कौन परवाह करता है, इसे संक्षेप में पीडी पर चर्चा नहीं करनी है। यह दुखद है कि देश 0day के लिए तैयार नहीं है, लेकिन अपने सबसे तीव्र समय अवधि में प्रसिद्ध 1day हमलों के लिए, यहां तक ​​कि पैच जारी होने के एक सप्ताह से भी अधिक समय बाद! सीआईएस बैंक अधिक त्वरित निकले। लेकिन अगर आपको लगता है कि केवल रूस में ही सब कुछ हमेशा खराब होता है - तो आप गलत हैं। मैं बहुत आलसी नहीं था और सबसे दिलचस्प संसाधनों को स्कैन किया था - अन्य देशों के सरकारी संसाधन अभी भी कमजोर हैं। इसके अलावा, उनमें से कुछ पर हमले से भौतिक दुनिया में काफी दिलचस्प परिणाम होंगे।

प्रत्येक वर्कअराउंड अच्छा नहीं है

दूसरा अवलोकन उन लोगों के बारे में है जिन्हें हमलों और बग के बारे में पता था , और उन्होंने गर्म फिक्स को मड किया। मुझे प्रमुख वैश्विक विक्रेताओं से दो सेवाएं मिलीं। दोनों सर्वरों में एक हॉटफ़िक्स था जो हमले को पारित होने से रोकता था। लेकिन दोनों विक्रेताओं ने एक ही गलती की। जीईटी के अनुरोध पर एडवाइजरी और सार्वजनिक कारनामे में केवल एक हमला वेक्टर था। लेकिन यह जाँच और POST के लायक है। लोगों ने इसे लड़ाई की गर्मी में दूर नहीं किया, अंत में मुझे दोनों सर्वरों पर गोले मिले, जिसकी मैंने तुरंत दोनों कंपनियों को सूचना दी। कुछ घंटों बाद फिक्सिंग सामने आई। पत्रिका के अगले अंक में पहुंच के प्रमाण के साथ स्क्रीनशॉट] [

एक निष्कर्ष के बजाय

क्या और क्यों के बारे में निष्कर्ष, और इसके साथ कैसे रहना और लड़ना है, मैं भी पत्रिका के लिए रवाना हुआ, हालांकि यह इतना स्पष्ट है। लेकिन मैंने हबर को लिखने का फैसला किया जो चेतावनी देने के लिए तुच्छ होगा - मैं व्यक्तिगत रूप से प्रत्येक विक्रेता को नहीं लिख सकता, विशेष रूप से सरकारी संरचनाओं और बैंकों को - यह आपका काम नहीं है, आपको अपनी घटनाओं का जवाब देना होगा, उदाहरण के लिए, चूंकि QIWI ने ऐसा किया था, उन्हें ज़रूरत नहीं थी एक सप्ताह प्रतीक्षा करें (उनके प्रति मेरा सम्मान)। बाकी - बस जानते हैं, और कार्रवाई करते हैं, क्योंकि दुश्मन उस क्षण से एक महीने इंतजार नहीं करता है जब पैच जारी किया जाता है, जैसा कि पेपर मानक में लिखा गया है, जिसे आप गर्व से मिलते हैं ... उसने विक्रेता से फिक्स जारी होने के एक दिन बाद हमला शुरू किया।