DDOS防御专家-提供超强DDoS高防/CC防护/大流量清洗服务!
当前位置:主页 > WEB安全 > 正文

云防护_牛盾云_如何解决

05-05 WEB安全

云防护_牛盾云_如何解决

上周,ddos攻击手段防御,类似《暗黑阅读》(Dark Reading)的报道,在Facebook广受欢迎的WhatsApp聊天应用程序中发现了一个可远程利用的漏洞,它可以监视用户,特别是针对人权组织。Facebook上周在最新的WhatsApp版本2.19.244中修补了该漏洞。在Sonatype中,我们强调了解部署的代码中哪些是易受攻击的,哪些是开发人员声明的。以Facebook为例,防御ddos攻击的方法,私有代码依赖于一个开源组件,其中嵌入的本机C代码很容易受到攻击。他们决定消除依赖关系,但这一事件证明,不掌握核心代码所依赖的组件可能会产生负面影响。多亏了一位名叫"觉醒"的研究人员,如果你更新到最新版本,你就可以避免WhatsApp中那些看起来无辜的gif从你的Android设备上窃取数据和私人对话。恶意内存Facebook和WhatsApp是两个"免费"的社交媒体应用,是恶意行为的有力攻击目标。应用程序是如何构建的,特别是它们如何使用处理器内存,这就需要利用这个向量。《黑暗阅读》的Jai Vijayan解释道:"这个bug并不存在于WhatsApp本身,而是存在于应用程序用来解析媒体文件的开源库中。所谓的双重释放漏洞(跟踪为CVE-2019-11932)源于在WhatsApp中解析GIF图像时如何分配内存。双重释放漏洞涉及应用程序两次调用设备上的相同内存空间,cdn高防ddos,从而导致内存泄漏。"当我们控制这些风险时,其他人也一样不知情地使用受损库的开发人员会将风险转嫁给其他人。我们的DJ Schleen在这段视频中解释道。DJ的两条建议:根据需要进行更新。保持组件库的新鲜。最新的软件供应链报告显示,较新的组件比旧的组件风险更小。但并不总是这样!这个悖论把我们带到了最重要的一点。。。了解应用程序中的内容。使用我们的健康检查漏洞扫描程序对你的应用程序进行免费扫描。知道你的代码里有什么。知道部署了什么,而不仅仅是声明了什么。不仅仅是Facebook和WhatsApp面临风险正如DJ在他的视频中指出的,各地的应用程序开发人员都在使用相同的开源组件。因此,双重免费漏洞攻击的威胁并不局限于WhatsApp或Facebook——任何使用相同易受攻击的开源媒体库的应用程序都存在这种威胁。当你知道你的应用中存在的特定开源软件组件时,你可以更快地降低风险。对某些人来说,这可能涉及到升级(或降级)到不同的组件。对于其他人来说,这可能需要转移资源,这样应用程序就不会依赖于易受攻击的组件——Facebook和WhatsApp就是这样。最后一个音符。与我们处理所有组件一样,ddos攻击与防御技术,Sonatype进行深入研究,以了解易受攻击的代码的上下文以及受攻击影响的版本。在CVE-2019-11932的情况下,我们提供了NVD咨询的偏差:Sonatype Advisory偏差通知:Sonatype安全研究团队发现,该漏洞存在于libpl_droidsonroids_gif库(安卓gif drawable中)的1.1.14版(但不包括1.2.18版)中,而不仅仅是NVD Advisory声明的1.2.15之前。对于使用此组件的开发人员来说,密切关注特定版本并相应地进行修正是有意义的。数据团队提供的技术细节中提供的libpl_droidsonroids_gif库pl.droidsonroids.gif:android gif drawable Maven Central组件和WhatsApp for android中包含双重释放漏洞。在释放内存之前,静态资源高防cdn,decoding.c中的DDGifSlurpfunction无法正确验证是否向应用程序提供了零大小的图像文件。远程攻击者可以通过使用精心编制的图像文件来利用此漏洞进行攻击,当受害者打开该文件时,会触发双重释放,从而使攻击者能够在受害者的设备上执行任意代码或造成拒绝服务(DoS)。注意:必须注意libpl_droidsonroid_gif库的版本范围与pl.droidsonroids.gif:包含此库的android gif可绘制组件。

版权保护: 本文由 DDOS防御专家 原创,转载请保留链接: /web/67646.html

DDoS防御专家简介孤之剑
国内资深白帽子二十人组成员,前BAT资深网络安全工程师,知名网络安全站点板块大神,每年提交Google及微软漏洞,原sina微博负载插件开发者,现在整体防御复合攻击长期接受1-4.7T攻击,CC防护自主开发指纹识别系统,可以做到99.9999%的无敌防御。
  • 文章总数
  • 8964459访问次数
  • 建站天数

    QQ客服

    400-0797-119

    X