DDOS防御专家-提供超强DDoS高防/CC防护/大流量清洗服务!
当前位置:主页 > CC防护 > 正文

服务器安全防护_游戏高防服务器租用_快速解决

05-02 CC防护

服务器安全防护_游戏高防服务器租用_快速解决

NodeJS组件express fileupload(从npm注册表下载了700万次)现在有一个严重的原型污染漏洞。至少,此漏洞允许攻击者玩弄您的NodeJS应用程序并导致一系列HTTP 500错误(即拒绝服务(DoS))。更高级的攻击针对的是该漏洞的模板更改功能,使黑客能够在易受攻击的计算机上执行远程代码。NodeJS组件"expressfileupload"在开发人员中是一个相当流行的选择,因为它提供了各种文件上传选项,并且可以很容易地集成到您的应用程序中。如果您依赖易受攻击的"express fileupload"版本来实现文件上载功能,则应注意它可能导致的安全风险。这个漏洞(CVE-2020-7699)是安全研究人员Posix在7月底发现的,他在这篇博文中提供了更多细节为什么原型污染脆弱性很重要?原型污染漏洞是有趣的,因为它们对攻击者的多功能性。想象一下,由于JavaScript语言中固有的"设计缺陷",能够修改JavaScript应用程序的每个对象和属性我们之前在Nexus Intelligence Insight中解释了什么是原型污染,以及它如何影响流行的"lodash"组件。回想一下那篇文章,JavaScript是一种原型语言,修改所有对象和属性构建的基本模板的能力是该语言的一个预期特性以前,在客户端上下文中使用的JavaScript代码中的原型污染漏洞已经引起了安全问题。但是,他们的攻击通常会导致用户的浏览器崩溃,或者客户端的应用程序行为异常,这意味着影响已经得到控制。但自从"无服务器"架构和NodeJS驱动的应用出现以来,同一种语言(JS)现在为数千个后端应用提供了支持。如果没有最新的ejb安全性和漏洞,那么每个组织都需要使用最新的补丁。Sonatype的安全研究小组负责人Garrett Calpouzos说,"原型污染漏洞的严重程度取决于该组件的使用位置。如果作为前端JavaScript的一部分使用,这些漏洞实际上会导致跨站点脚本(XSS),而如果将组件用作后端NodeJS应用程序的一部分,则此漏洞更等同于远程代码执行(RCE)。"有了类似这些原型污染漏洞,哪家服务器防御cc好,攻击者只需要一个HTTP请求就可以获得shell访问权限,并在运行"express fileupload"和其他开源库(例如EJS)的服务器上远程执行命令。 利用CVE-2020-7699的反向shell PoC来源:Posix博客Sonatype如何做到这一点?一旦Sonatype安全研究团队意识到影响这个下载量很大的组件的漏洞,我们就加快了深入研究的步伐。在研究过程中,我们意识到官方的NVD建议是不正确的,因为尽管论坛上的公开讨论指出1.1.8版已经修复,但它只是部分修复了固定的。在对1.1.8进行的修复中,虽然上载的包含''uuproto_uu'的JSON值被视为无效并被过滤,但逻辑还没有考虑到漏洞利用的另一个变体"express fileupload"对1.1.8中的漏洞应用了部分修复(通过GitHub)正如用户securityMB指出的,攻击者可以简单地使用构造函数.原型相对于"\uuu proto\uuuu"变异器来绕过这个检查,网站安全ddos防御报价,仍然污染对象的原型。注意到这一点,wayosddos攻击防御,高度响应的项目开发人员很快就从npm下载中取消了1.1.8版本,并发布了一个改进的修复程序,该修复程序进入了版本1.1.9:改进了"express fileupload"(通过GitHub)的1.1.9版修复此外,为了将此修复程序提供的保护扩展到数组,并防止修改对象方法和属性(而不是"uu proto_uu"和"constructor"),该项目在1.1.10和更高版本中再次进行了一些增强。这些都在Sonatype的数据中得到了说明。进一步的增强将保护扩展到数组和其他对象方法源:GitHub外卖"express fileupload"团队在修补该缺陷时所表现出的响应能力值得称赞,研究人员(Posix)对此负责任的披露也是如此。但是,这个下载量超过700万次的易受攻击的组件很容易潜伏在你的软件供应链中。如果没有Sonatype提供的完整见解,一些开发人员可能会在错误的印象下继续使用1.1.8版本,而我们看到的情况并非如此。Sonatype建议升级到express fileupload 1.1.10或更高版本,如npm下载中所示,其中包含此漏洞的修复程序。由于开源组件中每年都会报告数千个漏洞,因此几乎不可能手动跟踪每一次漏洞攻击以及它是如何具体应用于您的app dev环境的。具有持续部署软件版本能力的DevOps本机组织具有自动化优势,使其能够领先恶意意图一步。Sonatype Nexus客户在发现CVE-2020-7699后数小时内就收到了通知,他们的开发团队自动收到了如何补救风险的指示。如果您不是Sonatype的客户,低成本ddos防御,并且想知道您的代码是否存在漏洞,可以使用Sonatype的免费Nexus漏洞扫描程序快速查明。访问Nexus Intelligence Insights页面,深入了解类似此漏洞的其他漏洞,或订阅automatically receive Nexus Intelligence Insights hot off press。

,国内cc防御

版权保护: 本文由 DDOS防御专家 原创,转载请保留链接: /ddos/67506.html

DDoS防御专家简介孤之剑
国内资深白帽子二十人组成员,前BAT资深网络安全工程师,知名网络安全站点板块大神,每年提交Google及微软漏洞,原sina微博负载插件开发者,现在整体防御复合攻击长期接受1-4.7T攻击,CC防护自主开发指纹识别系统,可以做到99.9999%的无敌防御。
  • 文章总数
  • 8948049访问次数
  • 建站天数

    QQ客服

    400-0797-119

    X