Продукция Cisco тоже подвержена уязвимости десериализации в Java

Рекомендуем почитать:

Xakep #304. IP-камеры на пентестах

• Содержание выпуска
• Подписка на «Хакер»-60%

Уязвимость, обнаруженная в середине ноября 2015 года специалистами компании FoxGlove Security, оказалась более коварной, чем предполагалось изначально. Так, на днях компания SourceClear сообщила, что багу подвержена далеко не одна библиотека, а более 40. А теперь еще и компания Cisco признала, что проблема затрагивает их продукцию.

Ранее исследователи выявили, что злоумышленники могут атаковать любые Java-серверы приложений, а также другие продукты, в которых используются подверженные проблеме дисериализации библиотеки. Уязвимость связана с тем, как Java исполняет user-defined  код во время десериализации объектов. И если эксперты FoxGlove Security обнаружили только одну уязвимую библиотеку в составе Apache Commons, то специалисты SourceClear выявили аналогичную проблему еще в 40 библиотеках.

В своих отчетах исследователи указывают на тот факт, что корень проблемы лежит даже в самих библиотеках. Дело в самой функции сериализации и десериализации языка Java, а также в разработчиках, которые забывают удостовериться в том, чтобы недоверенные сериализованные данные не принимались для сериализации.

После сообщения об обнаружении уязвимости, компания Cisco провела собственное расследование, проверив на предмет бага собственные продукты. К сожалению, опасения сотрудников Cisco не были беспочвенными. Хотя расследование продолжается, уже ясно, что проблема затрагивает множество продуктов компании. Полный их список можно увидеть ниже. Официальный бюллетень безопасности также приводит список потенциально опасных продуктов и список гарантировано безопасных. Сообщается, что инженеры Cisco уже работают над созданием патчей.

Фото: Prayitno