- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
威胁预警团队
2021/06/29
Apache Tapestry是一款使用Java编写的开源Web框架，是一个基于组件的Web框架。Tapestry可以在任何应用程序服务器下工作，并且可以轻松集成所有后端，如Spring，Hibernate等。程序员可以应用现有的组件或自定义应用程序相关的组件来构建应用程序。相对与现有的其他Web应用程序框架而言， Tapestry会让程序员从烦琐的，不必要的底层代码中解放出来。近日，新华三攻防实验室威胁预警团队监测到网络上爆发了Apache Tapestry远程代码执行漏洞（CVE-2021-27850），未授权攻击者可绕过黑名单检查，获取HMAC密钥后实现远程代码执行。
该漏洞是对CVE-2019-0195修复补丁的绕过，在CVE-2019-0195中，可通过猜解资产文件的URL，并从类路径下载任意类文件，其修复方法是使用黑名单过滤，检查URL是否以“.class”、“properties”或“.xml”结尾。从而导致可进一步绕过，攻击者可通过构造特制的URL下载AppModule.class类文件，此类通常包含HMAC密钥，用于对序列化Java对象进行签名。利用该密钥，攻击者可以对造成远程代码执行的Java工具链进行签名，从而运行注入的恶意Java代码，实现反序列远程代码执行。
目前该漏洞利用细节已在互联网公开，建议受影响用户及时排查并修复。
Apache Tapestry 5.4.0 - 5.6.1
Apache Tapestry 5.7.0
严重
1、 Apache Tapestry官方已发布最新漏洞修复版本，请及时下载并升级，下载链接：https://tapestry.apache.org/download.html
1、新华三安全设备防护方案
新华三IPS规则库已在1.0.132版本支持对该漏洞的识别，新华三全系安全产品可通过升级IPS特征库识别该漏洞的攻击流量，并进行主动拦截。
2、新华三态势感知解决方案
新华三态势感知已支持该漏洞的检测，通过信息搜集整合、数据关联分析等综合研判手段，发现网络中遭受该漏洞攻击及失陷的资产。
3、新华三云安全能力中心解决方案
新华三云安全能力中心知识库已更新该漏洞信息，可查询对应漏洞产生原理、升级补丁、修复措施等。
1、https://lists.apache.org/thread.html/r237ff7f286bda31682c254550c1ebf92b0ec61329b32fbeb2d1c8751%40%3Cusers.tapestry.apache.org%3E
本站点使用Cookies，继续浏览表示您同意我们使用Cookies。 Cookies和隐私政策>
产品与解决方案
