Более 40 популярных библиотек подвержены уязвимости десериализации в Java

Более 40 популярных библиотек подвержены уязвимости десериализации в Java

В середине ноября 2015 года специалисты компании FoxGlove Security выявили опасный баг в широко распространенной библиотеке, из состава Apache Commons. Теперь компания SourceClear сообщает, что данная уязвимость затрагивает не одну библиотеку, а более 40.

По данным исследования компании SourceClear, многие библиотеки, в числе которых Apache Directory API, JMS Transport и некоторые версии Webx All-in-one Bundle, подвержены аналогичной обнаруженной в ноябре проблеме.

Ранее, основываясь на исследовании, представленном сотрудниками компании Qualcomm, специалисты FoxGlove Security продемонстрировали, что хакеры с легкостью могут воспользоваться уязвимостью для атак на Java серверы приложений, а также на любые другие продукты, в которых используется коллекция Apache Commons (в том числе Oracle WebLogic, IBM WebSphere, Red Hat’s JBoss, Jenkins и OpenNMS), сообщает xakep.ru.

Проблема заключается в том, как Java исполняет user-defined код во время десериализации объектов. Опираясь на это, исследователи FoxGlove Security сумели создать пейлоуды, с помощью которых получили shell-доступ к машинам, на которых работали уязвимые продукты.

«Это очень неприятная уязвимость, потому что это не брешь в самой Java, но баг, которому подвержены широко распространенные библиотеки, — пишет Иоганесс Ульрих (Johannes Ullrich), технический директор SANS Institute Internet Storm Center. — Провести инвентаризацию этих библиотек, которые используются в различных продуктах, крайне трудно».

Специалистам SourceClear удалось выявить баг в нижеперечисленных библиотеках. Компания советует всем разработчикам внимательно проверить свой код и библиотеки на предмет проблемы с десериализацией.

 

Имя Версия
Apache Directory API All 1.0.0-M31
Apache Directory API All 1.0.0-M32
Apache Jena — Fuseki Server Standalone Jar 2.0.0
Apache Jena — Fuseki Server Standalone Jar 2.3.0
flink-core 0.9.0-hadoop1
flink-core 0.9.0
flink-shaded-include-yarn 0.9.0
flink-shaded-include-yarn 0.9.0-milestone-1
jcaptcha-all 1.0-RC6
jcaptcha-all 1.0-RC5
Mule Core 2.1.0
Mule Core 2.1.2
JMS Transport 3.0.0-M2-20091124
JMS Transport 3.3-M1
Spring XD DIRT 1.0.3.RELEASE
Spring XD DIRT 1.0.4.RELEASE
Webx All-in-one Bundle 3.2.3
Webx All-in-one Bundle 3.0.14
hadoop-mapreduce-client-core 2.6.2
hadoop-mapreduce-client-core 2.6.0
Commons BeanUtils Core 1.8.3
Commons BeanUtils Core 1.8.2
Apache Hadoop Common 2.6.2
Apache Hadoop Common 2.5.2
Commons Collections 20031027
Commons Collections 3.2.1
OpenJPA Utilities Library 2.3.0
OpenJPA Utilities Library 2.2.2
OpenJPA Kernel 2.3.0
OpenJPA Kernel 2.2.2
OpenJPA Persistence 1.2.3
JasperReports 6.2.0
JasperReports 6.0.2
Isis MetaModel 1.0.0
Isis MetaModel 1.1.0
AutoValue 1
AutoValue 1.0-rc4
Core 1.6.2
Core 1.6.1
velocity:velocity-dep 1.5-beta2
Apache Commons Collections 4
HBase — Common 0.98.9-hadoop1
HBase — Common 0.98.7-hadoop1
Apache Directory Shared LDAP 0.9.11
org.springframework:spring 2.5.6.SEC03
org.springframework:spring 2.5.6.SEC02
Apache MyFaces JSF-2.2 Core Impl 1.2.5
Apache MyFaces JSF-2.2 Core Impl 2.2.7
jung-visualization 2.0.1
jung-visualization 2
HBase — Server 0.98.10.1-hadoop2
HBase — Server 0.98.7-hadoop2
org.apache.pig pig 0.15.0
com.google.gwt gwt-dev 2.7.0
larvalabs collections 4.01
org.opensymphony.quartz quartz 1.6.1
Apache Commons BeanUtils 1.9.2
Apache Commons BeanUtils 1.9.1
Apache Crunch Core 0.13.0
JasperReports 3.5.2
JasperReports 3.5.1
ApacheDS MVCC BTree implementation 1.0.0-M7
ApacheDS All 2.0.0-M18
ApacheDS All 2.0.0-M17
ESAPI 2.1.0
ESAPI 2.0.1
OpenJPA Aggregate Jar 2.3.0
OpenJPA Aggregate Jar 2.2.2
quartz 1.6.3
quartz 1.6.0

Комплекты RAM теперь продают с одной настоящей и одной фальшивой планкой

На фоне подорожавшей оперативной памяти производители начинают искать всё более необычные способы заинтересовать покупателей. Компания V-Color как раз показала один из таких вариантов — новые 1+1 Value Pack для DDR5, где в комплект входит один настоящий модуль памяти и один декоративный.

Идея простая: если денег хватает только на одну планку ОЗУ, всё равно можно занять второй слот и сделать вид, что в системе стоит полноценный двухмодульный комплект.

На производительность это, конечно, не повлияет, но визуально сборка будет смотреться куда «плотнее» и аккуратнее.

По сути, речь идёт о так называемых филлерах, или модулях-пустышках. Это нерабочие планки, которые копируют внешний вид обычной памяти и нужны исключительно для красоты. Они могут светиться, синхронизироваться с RGB-подсветкой и заполнять пустые слоты на материнской плате, но дополнительной памяти компьютеру не дают.

 

Подобные решения на рынке уже были и раньше. Одним из самых известных примеров стали Light Enhancement Kits от Corsair. Но V-Color, похоже, решила пойти дальше и сделать такие пустышки не просто отдельным аксессуаром, а частью новых комплектов памяти.

Сейчас компания запускает такие наборы в сериях Manta Sky и Manta XFinity. Стартовая скорость заявлена на уровне DDR5-6400. При этом производитель пока не раскрыл тайминг и не уточнил, будет ли поддержка Intel XMP 3.0. Судя по позиционированию, новые наборы ориентированы прежде всего на AMD-системы, так что, вероятно, акцент сделан на AMD EXPO.

По конфигурациям тоже есть различия. Manta Sky будет доступна в варианте на 16 ГБ, а Manta XFinity — на 24 ГБ. В дальнейшем V-Color обещает выпустить и наборы формата 2+2, где будет уже две настоящие планки памяти и ещё две декоративные.

В компании объясняют идею довольно просто: хочется дать геймерам и энтузиастам более доступный вход в мир DDR5-сборок без ущерба для внешнего вида компьютера и с возможностью дальнейшего апгрейда. Логика в этом есть, особенно если учесть, насколько заметной частью ПК-сборок в последние годы стала именно эстетика.

Но здесь важно помнить главное: одноканальная память всё равно остаётся компромиссом. Если нужна максимальная производительность, особенно в играх и чувствительных к памяти задачах, полноценный двухканальный режим по-прежнему остаётся лучшим вариантом.

RSS: Новости на портале Anti-Malware.ru