10 آسیب پذیری برتر جاوا و نحوه رفع آنها

جاوا به طور مداوم در مورد امنیت مورد توجه قرار می گیرد - اما با توجه به اینکه نیمی از برنامه های سازمانی در 15 سال گذشته با این زبان نوشته شده اند، فراگیر بودن آن (و بردارهای حمله شناخته شده) ممکن است بیشتر از ضعف های امنیتی ذاتی جاوا به تنهایی مقصر باشد. با این حال، رویکردهای جدیدی در حال توسعه هستند (به عنوان مثال، Rask، Waratek) برای بهبود امنیت برنامه های کاربردی وب جاوا در سطح ماشین مجازی جاوا (JVM)، اما برای اکثر سازمان ها، ایجاد دفاع امنیتی سنتی برای برنامه های کاربردی جاوا می تواند به محافظت در برابر اکثر سوء استفاده های مرتبط با جاوا کمک کند.

به دلیل فراگیر بودن جاوا، مدیریت آسیب پذیری جامع ابزارها و فناوری های مرتبط با جاوا برای حفظ امنیت قوی بسیار مهم است - چه در حال اجرای یک خط لوله کامل CI/CD باشید و چه چند برنامه وب سازمانی داخلی. در زیر 10 آسیب پذیری برتر فناوری جاوا وجود دارد که شامل ابزار و برنامه های محبوب برای پشتیبانی از توسعه برنامه های کاربردی مبتنی بر جاوا است.

10 آسیب پذیری برتر جاوا

1. جنیت

این چارچوب تست واحد یک آیتم استاندارد در اکثر جعبه های ابزار توسعه دهندگان جاوا است که امکان تست سریع و خودکار پایگاه کد را فراهم می کند. با این حال، فایل های JUnit که با برنامه های دیگر ارائه می شوند، می توانند آسیب پذیری هایی را در خود جای دهند. به عنوان مثال، نسخه های Google Web Toolkit (GWT) قبل از 2.5.1 RC حاوی چندین آسیب پذیری اسکریپت بین سایتی (XSS) هستند.

۲. جنکینز

جنکینز به عنوان رایج ترین سرور یکپارچه سازی مداوم (CI) در بازار، بر این اساس طرفداران زیادی در بین توسعه دهندگان جاوا دارد. متأسفانه، محبوبیت به عنوان ابزار یکپارچه سازی مداوم معمولا به معنای آسیب پذیری ها و سوء استفاده های بیشتر است و در مورد جنکینز، آسیب پذیری های متعدد XSS، جعل درخواست بین سایتی (CSRF) و انکار سرویس (Dos) وجود دارد.

3. خواب زمستانی

چارچوب محبوب ORM Hibernate معمولا در بین توسعه دهندگان جاوا برای نگاشت اشیاء پایگاه داده رابطه ای مانند جداول به کلاس های جاوا استفاده می شود. نسخه های 4.1.0 قبل از 4.2.1، 4.3.x قبل از 4.3.2 و 5.x قبل از 5.1.2 ابزار منبع باز حاوی آسیب پذیری هستند که می تواند به مهاجمان اجازه دهد تا Java Security Manager (JSM) را دور بزنند.

۴. مِیون

Apache Maven یک مدیر ساخت است که به طور گسترده برای پروژه های جاوا استفاده می شود و امکان مدیریت مرکزی ساخت، گزارش دهی و مستندسازی پروژه را فراهم می کند. یک آسیب پذیری در Apache Maven 3.0.4 به هکرهای راه دور اجازه می دهد تا سرورها را در یک حمله مرد میانی جعل کنند.

5. تامکت

این سرور وب اپلیکیشن محبوب جاوا مورد علاقه همیشگی توسعه دهندگان برای ساخت servlets و برنامه های کاربردی با صفحات JavaServer بوده است. با قدمت بیش از یک دهه، Tomcat طیف نسبتا چشمگیری از شکاف های امنیتی از XSS تا آسیب پذیری های CSRF را جمع آوری کرده است که بسیاری از آنها در طبیعت مورد سوء استفاده قرار گرفته اند.

6. جاوا 7

با وجود ورود جاوا 8 در سال گذشته، جاوا 7 هنوز در حال استفاده غالب است - اگرچه انتظار می رود که تا سال 2016 نسخه 8 پیشتاز باشد. ناگفته نماند که هر نسخه جاوا زیر 7 باید فورا به روز شود - حتی نسخه 7 نیز نیاز به اصلاح قابل توجهی برای ناوگان آسیب پذیری های خود دارد.

7. چارچوب بهار

Spring یک فریمورک کاربردی با چارچوب مدل-نما-کنترلر خاص خود برای جاوا است که امکان جداسازی منطق ورودی، کسب و کار و رابط کاربری را فراهم می کند. یک پروژه منبع باز، Spring بدون سهم منصفانه ای از آسیب پذیری های مستند نیست.

8. چهره های JavaServer

JavaServer Faces (JSF) یک چارچوب ارائه برای جاوا است که توسعه عناصر رابط کاربری قابل استفاده مجدد را تسهیل می کند. یک آسیب پذیری در Apache MyFaces Core 2.0.x قبل از 2.0.12 و 2.1.x قبل از 2.1.6 می تواند به مهاجمان راه دور توانایی خواندن فایل های دلخواه را بدهد.

9. محیط توسعه Eclipse

Eclipse یک ابزار دسکتاپ محبوب برای ساخت برنامه های کاربردی وب در جاوا است و سال ها به عنوان محیط توسعه یکپارچه ترجیحی (IDE) توسعه دهندگان جاوا عمل کرده است. متأسفانه، نسخه های خاصی از فایل های راهنما آن - از همه چیز - در برابر اکسپلویت های مرتبط با XSS آسیب پذیر هستند.

10. وادین

Vaadin یک فریمورک محبوب جاوا برای ساخت برنامه های وب جاوا معاصر است - به برنامه های وب مدرن و تک صفحه ای فکر کنید که توسط جاوا طراحی شده اند. یک آسیب پذیری XSS در چارچوب می تواند به مهاجمان راه دور اجازه دهد تا اسکریپت های دلخواه را به صفحات تزریق کنند.

بازسازی

برای رفع آسیب پذیری های فوق، باید شناسایی کنید که کدام یک از این فناوری ها در محیط شما استفاده می شوند و برای اطلاعات به روز رسانی/وصله به وب سایت فروشنده/پروژه مربوطه مراجعه کنید. UpGuard می تواند همه این موارد را به طور خودکار با چند کلیک ماوس پیدا کند. علاوه بر این، خط مشی آسیب پذیری جاوا قابل ویرایش ما می تواند رشد کند تا هر گونه بررسی سفارشی برای ابزار اضافی جاوا را در خود جای دهد. امروز آن را تست کنید - رایگان است.

اینفوگرافیک آسیب پذیری های جاوا