Apache Software Foundation 发布 2019 年安全报告-低调大师

Apache Software Foundation 发布 2019 年安全报告

2020-02-01 823

Apache Software Foundation（ASF）发布了 2019 年安全报告。根据该报告，2019 年最值得注意的事件包括有对 Hadoop instances 的攻击增加，Apache HTTP Server 2.4 的漏洞以及旧版本的 Apache Axis 的漏洞。

据介绍，该报告探讨了 2019 日历年所有 Apache Software Foundation 项目的安全状态。回顾了关键指标，特定漏洞以及 ASF 项目用户受安全问题影响的最常见方式。

官方表示，在 2019 年，其安全地址总共收到 18,000 多封电子邮件。经过垃圾邮件过滤和线程分组后，共有 620 个 non-spam threads 。其中，620 个中的138 个（占 22％）是被 Apache 许可证混淆的人们；162 个（26％）既不是垃圾邮件，也不是新漏洞的报告，这些人通常是在询问支持类型的问题或如何处理旧漏洞。

图：2019 日历年 ASF security email threads 的细分*

值得注意的事件

2019 年有一些值得讨论的事件；要么是因为它们的严重性和高风险，要么它们是随时可用的漏洞利用，或者是由于媒体的关注。这些包括：

2019年1月：Securonix 发布了一份报告，概述了尚未配置身份验证的 Apache Hadoop 实例的攻击数量增加。存在公共漏洞利用和 Metasploit 模块，可以在不受保护的Hadoop YARN系统上执行远程代码执行。
2019年4月：Apache HTTP Server 2.4（CVE-2019-0211）中的漏洞有权在 Web 服务器上编写脚本的用户可以将那些特权提升为 root。此问题有一个公共漏洞利用。
2019年4月：Apache Axis 的较早版本中的一个漏洞，该漏洞分析了从过期域中不安全地检索的文件，从而允许远程执行代码（CVE-2019-0227）。
2019年6月：Jonathan Leitschuh 发现大量 Java 构建依赖项通过不安全的路径（即 HTTP 而非 HTTPS）下载后，与我们联系。我们并未将这些漏洞本身归类为安全漏洞，因为利用它们会在构建时需要 MITM 攻击。我们与 ASF 项目（包括报告者确定的项目）合作，以确保我们使用安全的 URL。现在，到 2020 年，许多存储库都需要安全 URL。
2019年8月：Black Duck Synopsys 团队审查了较旧的 Struts 版本和公告，并在报告的受影响版本中发现了一些差异。Struts 团队会仔细研究他们的发现并在需要时发布更正。如果用户正在运行旧版本，而他们认为这些旧版本实际上不受建议的影响，那么这可能非常重要。但是，那些相同的用户很可能会受到自此之后已解决的其他问题的攻击，因此我们始终建议用户升级到最新版本的 Struts，以确保其版本包含针对所有已发布的安全问题的修复程序。
2019年8月：Netflix 发现了许多拒绝服务漏洞，这些漏洞影响了各种 HTTP/ 2实现。对包含 HTTP/ 2 实现的 ASF 项目进行了调查并分析了所报告的问题。Apache HTTP Server 和 Apache TrafficServer 均发布了更新，以解决影响它们的拒绝服务问题。Apache Tomcat 还对 HTTP/ 2 处理进行了性能改进，但是这些问题并未归类为拒绝服务。
2019年9月：RiskSense 报告重点介绍了勒索软件已知使用的漏洞，其中包括 ASF 项目中的四个漏洞。这四个漏洞在早些年都已修复，并且在任何勒索软件利用它们之前，都具有可用的更新和缓解措施。用户应始终确保他们在使用的任何 ASF 项目中关注安全更新，并为任何远程或严重漏洞确定更新的优先级。
2019年12月：Apache Olingo 中的一个漏洞允许 XML 外部实体（XXE）攻击（CVE-2019-17554）。例如，可以使用此问题从服务器检索任意文件。存在一个针对此问题的公共利用示例。
一年来，Apache Solr 中存在许多漏洞，这些漏洞可能允许远程执行代码。存在针对某些问题的公共漏洞利用以及 Metasploit 模块。
欧盟委员会 EU-FOSSA 2 项目赞助了漏洞赏金计划，供用户在 Apache Kafka 和 Apache Tomcat 中发现安全问题。Apache Kafka 中未解决任何问题。Apache Tomcat 中修复了两个问题：CVE-2019-0232（严重性，影响 Windows 平台，提供包括 Metasploit 模块的公共漏洞利用）和CVE-2019-0221（低严重性）。除了提供漏洞赏金外，EU-FOSSA 2 还于 2019 年 6 月赞助了一次成功的黑客马拉松。

ASF表示，“ Apache Software Foundation 项目高度多样化且独立。它们具有不同的语言，社区，管理和安全模型。但是，每个项目的共同点之一是如何处理报告的安全问题的一致过程” 。并称，“该报告提供了 2019 日历年的指标，显示了从我们收到的 18,000 封电子邮件中整理了 300 多个漏洞报告，从而修复了 100 多个（CVE）问题。”

微信关注我们

原文链接：https://www.oschina.net/news/113087/apache-software-foundation-2019-security-report

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Linux Kernel 5.6 开发者已准备好应对 2038 年问题

新十年伊始，Linux Kernel 5.6 的开发者已经准备好着手解决将在下一个十年到来的 2038 年问题（又称 “Y2038” 或 “Unix Y2K” 问题）。Linux 5.6 也成为第一个为 32 位系统准备运行到 2038 年之后的主线内核。 2038 年问题与千年虫问题类似，它可能会导致某些软件在 2038 年 1 月 19 日 3 时 14 分 07 秒之后无法正常工作。届时，在大部分 32 位操作系统上，依据 “time_t” 标准，时间将会“绕回”且在内部被表示为一个负数，并造成程序无法工作，因为它们无法识别 2038 年，而可能会跳回 1970 年或 1901 年。现阶段，还没有针对 2038 年问题的通用解决方案。Linux 5.6 已率先做好准备，并极有可能反向移植到 5.4/5.5 稳定分支。在 Linux 开发人员 Arnd Bergmann 寄给 Linus Torvalds 的邮件中，他提到，Linux Kernel 5.6 应该作为基础，使 32 位系统能够运行到 2038 年以后。他提出的 PR 包括对 time_t 的更改，即更改存储秒数（...

2020-02-01

982

我们生活在这样的时代，我们的日常运营日益数字化，同时，新一代人开始拥抱各种新技术，并将其视为生活中自然的部分。随着我们越来越多地连接到网络，我们也开始面临着各种网络安全威胁。并且，敌对政府和恶意攻击者看到更大的破坏潜力，他们只需要付出最小的努力，有时甚至不会留下痕迹。早期的黑客破解了系统以示抗议，或仅仅是为了吹牛。但是，随着数据成为新的黄金，黑客开始窃取数据或挟持数据以获得利益。首席信息官应特别注意网络安全威胁，因为在2019年，网络罪犯将重点从消费者转移到了企业、医院、美国州立和地方政府以及工业控制系统。这些实体不能容忍停机时间，停机代价非常高，并且他们也有钱支付赎金。网络罪犯期望以更少的努力获得更多的回报，当他们入侵后，他们就可能造成更多的高价值破坏。目前，我们处于勒索软件时代，安全系统的小漏洞可能造成数百万美元的损失，这不仅是由于勒索赎金所致，停机时间和更换受感染设备的成本甚至更高。例如，针对巴尔的摩政府系统的勒索软件攻击估计花费超过1,820万美元，尽管攻击者只索要大约76,280美元。本文中，我们研究了网络安全威胁和很多潜在的渗透点，以及我们可以采取的措施。电子邮件和...

2020-01-31

606

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。