Apache Seata反序列化缝隙来袭，，，，，，，8827太阳集团提供解决规划

颁布功夫 2024-09-23

Apache Seata 是一款开源的散布式事务解决规划，，，，，，，致力于在微服务架构下提供高机能和单一易用的散布式事务服务。。。。。。。 。


2024年9月，，，，，，，8827太阳集团监控到Apache Seata 官方颁布了CVE-2024-22399 Apache Seata Hessian反序列化缝隙。。。。。。。 。该缝隙CVSS3.1目前评分为9.8分，，，，，，，并且其综合评级为“超危”。。。。。。。 。


经钻研确定，，，，，，，Apache Seata 用于服务端与客户端通讯的RPC 和谈（默认端口为8091）以及自2.0.0 版本起实现的Raft 和谈新闻，，，，，，，均支持选取Hessian 进行数据的序列化与反序列化操作。。。。。。。 。在2.1.0 及1.8.1 版本之前，，，，，，，Seata在处置RPC 要求时，，，，，，，对RPC 新闻体中的序列化数据校验机造不够严格。。。。。。。 。这一情况以至攻击者可能机关蕴含恶意Hessian 序列化数据的新闻体，，，，，，，并发送恶意RPC 要求，，，，，，，最终可能导致远程代码执行。。。。。。。 。若成功利用此缝隙，，，，，，，攻击者则有可能齐全掌控受影响的系统，，，，，，，其中蕴含获取敏感数据的接见权限、执行肆意指令，，，，，，，或者提议进一步的网络攻击行为。。。。。。。 。请受影响的用户尽快采取防护措施。。。。。。。 。


图片1.png


缝隙复现


图片2.jpg


影响版本


Apache Seata 2.0.0 版本

Apache Seata 1.0.0 至 1.8.0 版本


解决规划


一、官方建复规划


目前官方已有可更新版本，，，，，，，建议受影响用户升级至最新版本:

Apache Seata 2.1.0/1.8.1

官方下载地址：

https://github.com/apache/incubator-seata/releases/tag/v2.1.0


二、8827太阳集团解决规划


1、8827太阳集团终端产品规划


天珣终端安全一体化（EDR）提供缝隙的专项验证查抄能力对缝隙驻留终端进行全网同步验证，，，，，，，同时提供实时告警异常子父过程，，，，，，，监控主机异常表连检测或防御能力，，，，，，，招架缝隙攻击风险。。。。。。。 。


图片3.jpg


2、8827太阳集团检测类产品规划


天阗入侵检测与治理系统（IDS）、天阗超融合检测探针（CSP）、天阗威胁分析一体机（TAR）、天清入侵防御系统（IPS）升级到当前最新版本事务库即可有效检测或防护该缝隙造成的攻击风险，，，，，，，事务库下载地址：

https://venustech.download.venuscloud.cn/


3、8827太阳集团漏扫产品规划


（1）“8827太阳集团缝隙扫描系统V6.0”产品已支持对该缝隙进行扫描。。。。。。。 。


图片4.png


（2）8827太阳集团缝隙扫描系统608X系列版本已支持对该缝隙进行扫描。。。。。。。 。


图片5.png


4、8827太阳集团资产与脆弱性治理平台（ASM）产品规划


8827太阳集团资产与脆弱性治理平台实时采集并更新谍报信息，，，，，，，对入库资产缝隙Apache Seata 反序列化缝隙（CVE-2024-22399）进行治理。。。。。。。 。


图片6.png


5、8827太阳集团安全治理和态势感知平台产品规划


用户能够通过泰合安全治理和态势感知平台，，，，，，，进行关联战术配置，，，，，，，结合现实环境中系统日志和安全设备的告警信息进行持续监控，，，，，，，从而发现“Apache Seata 反序列化缝隙（CVE-2024-22399）”的缝隙利用攻击行为。。。。。。。 。


（1） 在泰合的平台中，，，，，，，通过脆弱性发现职能针对“Apache Seata 反序列化缝隙（CVE-2024-22399）”缝隙扫描工作，，，，，，，排查治理网络中受此缝隙影响的沉要资产。。。。。。。 。


图片7.png


（2）平台“关联分析”模浚浚� ？？？？ ？橹校�，，，，，增长“L2_Apache Seata 反序列化缝隙”，，，，，，，通过8827太阳集团检测设备、指标主机系统等设备的告警日志，，，，，，，发现表部攻击行为。。。。。。。 。


图片8.png


通过度析规定自动将"L2_Apache Seata反序列化缝隙"缝隙利用的可疑行为源地址增长到观察列表“高风险衔接”中，，，，，，，作为内部谍报数据使用。。。。。。。 。


（3） 增长“L3_Apache Seata反序列化缝隙”，，，，，，，前提日志名称蹬宗或蕴含“L2_Apache Seata 反序列化缝隙”，，，，，，，攻击了局蹬宗“攻击成功”，，，，，，，主张地址引用资产缝隙或源地址匹配威胁谍报，，，，，，，从而提升关联规定的相信度。。。。。。。 。


图片9.png


（4）ATT&CK攻击链条分析与SOAR措置建议


凭据对CVE-2024-22399缝隙的攻击利用过程进行分析，，，，，，，攻击链涉及多个ATT&CK战术和技术阶段，，，，，，，覆盖的TTP蕴含：


TA0001初始接见：T1190利用面向公家的利用法式

TA0002执行：T1059号令和剧本诠释器

TA0004提权： T1068利用缝隙提升权限

TA0009数据网络： T1005从本地系统网络数据


图片10.png


通过泰合安全治理和态势感知平台内置SOAR自动化或半自动化编排联动响应措置能力，，，，，，，针对该缝隙利用的告警事务编排剧本，，，，，，，进行自动化措置。。。。。。。 。