В Solar appScreener 3.0 обновлена система взаимодействия с юзерами

В Solar appScreener 3.0 обновлена система взаимодействия с юзерами

Компания Ростелеком-Solar, национальный провайдер сервисов и решений кибербезопасности, объявляет о масштабном обновлении своего анализатора приложений на наличие уязвимостей и недекларированных возможностей (НДВ). Начиная с версии 3.0, продукт будет представлен на рынке под новым названием — Solar appScreener — вместо предшествующего Solar inCode. Ребрендинг продиктован технологической эволюцией продукта: реализованные в нем технологии декомпиляции и деобфускации позволяют не просто сканировать исходный код, но и, в отличие от конкурирующих решений, анализировать приложения в виде исполняемых файлов.

Ключевым изменением Solar appScreener 3.0 стала полностью обновленная система взаимодействия решения с пользователями. Значительным изменениям подвергся как графический интерфейс решения, который стал удобнее и современнее, так и функциональность системы.

С выходом предыдущей версии анализатора Solar inCode 2.10 было запущено бета-тестирование нового графического интерфейса и по итогам собраны отклики и пожелания пользователей по возможным улучшениям. Кроме того, компания провела ряд специализированных UX/UI-тестов, по результатам которых эргономику интерфейса существенно доработали — например, свели к минимуму количество кликов, необходимое для доступа пользователей к функциям системы. Также была полностью переработана страница управления группами пользователей: теперь при ее создании можно гибко настраивать права группы пользователей.

Кроме того, в новом интерфейсе появились удобная навигация по проектам и результатам анализа, мгновенный поиск, более наглядное и подробное представление статистической информации о проектах и дополнительные фильтры для проектов, а также существенно переработана страница администрирования. Пользователи, предпочитающие предыдущий интерфейс, смогут пользоваться им вплоть до выхода версии 3.1.

«За несколько лет, прошедших с момента выхода на рынок первой версии сканера кода Solar inCode, наш продукт сумел занять лидирующие позиции на российском рынке анализаторов защищенности приложений. За эти годы решение проделало огромный путь в своем технологическом развитии. Сегодня мы выпускаем на рынок новую версию 3.0 с целым рядом значимых улучшений», — отметил Даниил Чернов, руководитель направления Solar appScreener компании Ростелеком-Solar.

Наиболее заметные улучшения, реализованные в Solar appScreener 3.0, —развитие функциональности уникального модуля Fuzzy Logic Engine, расширение возможностей интеграции продукта в процесс безопасной разработки за счет интеграции с Microsoft Active Directory и поддержка языка программирования COBOL.

В Solar appScreener 3.0 повысилось удобство использования модуля Fuzzy Logic Engine, который позволяет минимизировать количество ложных срабатываний, не пропуская при этом реальные уязвимости. Благодаря увеличению покрытия базы правил поиска уязвимостей в новой версии можно настраивать отображение результатов с учетом вероятности ложного срабатывания.

Одно из важнейших требований, которые предъявляют к современным анализаторам защищенности приложений, — возможность интеграции в процесс безопасной разработки. Для расширения такой возможности в Solar appScreener 3.0 реализована интеграция с Microsoft Active Directory, которая позволяет автоматически соблюсти действующие в компании политики информационной безопасности и права доступа разработчиков и офицеров безопасности к различным информационным системам. Таким образом Solar appScreener 3.0 повышает общий уровень корпоративной информационной безопасности и значительно сокращает время, которое требуется для управления полномочиями пользователей.

Кроме того, за счет улучшенных методов анализа потока данных и метода генерации диаграммы распространения данных для уязвимостей новая версия решения более эффективно анализирует уязвимости приложений, написанных на языках Java, Scala, Kotlin и Java for Android.

Реализованная в Solar appScreener 3.0 поддержка legacy-языка COBOL позволит проверять на уязвимости унаследованные системы, от которых по тем или иным причинам невозможно отказаться. COBOL часто использовали для разработки банковских приложений, и его поддержка была реализована по запросам клиентов и партнеров Ростелеком-Solar на зарубежных рынках.

Solar appScreener является российской разработкой, внесен в Единый реестр отечественного ПО (№ 516), сертифицирован ФСТЭК России на соответствие требованиям к программному обеспечению по 4 уровню контроля отсутствия НДВ (сертификат соответствия № 4007) и может использоваться для замещения зарубежных аналогов.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Нераскрытая XSS в Apache Velocity Tools опасна для сайтов в зоне .GOV

Эксплуатация уязвимости в библиотеке Apache Velocity Tools не требует аутентификации и позволяет провести атаку по методу межсайтового скриптинга (XSS) на правительственные сайты в TLD-домене .gov, в том числе против НАСА и госучреждений Австралии. Брешь устранили более 2,5 месяцев назад, однако соответствующее обновление до сих пор не вышло.

Как стало известно BleepingComputer, проблемным является один из Java-классов коллекции Apache Velocity Tools — подпроекта Apache Velocity, основанного на Java движка шаблонов. Последний разработчики используют для разделения данных приложения, пользовательского интерфейса и управляющей логики на три компонента. Такая схема разделения (MVC, Model-View-Controller, модель-представление-контроллер) упрощает привнесение изменений в проект.

Уязвимый Java-класс VelocityViewServlet, по данным BleepingComputer, используют более 2,6 тыс. бинарников, доступных в npm, PyPI, Maven Central и других хранилищах продуктов с открытым исходным кодом. Баг, классифицируемый как «отраженный XSS», связан с рендерингом страниц ошибок (таких как template not found — «шаблон не найден») и при использовании позволяет заманить пользователя на фишинговый сайт или угнать его сессию.

 

Проблема затрагивает все версии Apache Velocity Tools и особенно опасна для правительственных порталов, на которых регистрируются служащие и подрядчики.  

Уязвимость обнаружил в начале октября участник команды этичных хакеров Sakura Samurai. Разработчики Apache Velocity Tools удостоверились в наличии ошибки и втихую ее исправили, опубликовав соответствующий коммит в своем репозитории на GitHub.

На запрос BleepingComputer о комментарии представители  Apache Software Foundation (ASF) пояснили, что XSS-баг, кулуарно идентифицируемый как CVE-2020-13959, некритичен, поэтому патч для него будет официально выпущен вместе с другими в составе очередной сборки Apache Velocity Tools (ее дата выпуска пока не определена). Те, кого тревожит отсутствие заплатки, могут самостоятельно загрузить ее с GitHub.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru