Apache Software Foundation 发布 2019 年安全报告

文章转载开源中国

Apache Software Foundation（ASF）发布了 2019 年安全报告。根据该报告，2019 年最值得注意的事件包括有对 Hadoop instances 的攻击增加，Apache HTTP Server 2.4 的漏洞以及旧版本的 Apache Axis 的漏洞。 

据介绍，该报告探讨了 2019 日历年所有 Apache Software Foundation 项目的安全状态。回顾了关键指标，特定漏洞以及 ASF 项目用户受安全问题影响的最常见方式。

官方表示，在 2019 年，其安全地址总共收到 18,000 多封电子邮件。经过垃圾邮件过滤和线程分组后，共有 620 个 non-spam threads 。其中，620 个中的138 个（占 22％）是被 Apache 许可证混淆的人们；162 个（26％）既不是垃圾邮件，也不是新漏洞的报告，这些人通常是在询问支持类型的问题或如何处理旧漏洞。

图：2019 日历年 ASF security email threads 的细分*

值得注意的事件

2019 年有一些值得讨论的事件；要么是因为它们的严重性和高风险，要么它们是随时可用的漏洞利用，或者是由于媒体的关注。这些包括：

• 2019年1月：Securonix 发布了一份报告，概述了尚未配置身份验证的 Apache Hadoop 实例的攻击数量增加。存在公共漏洞利用和 Metasploit 模块，可以在不受保护的Hadoop YARN系统上执行远程代码执行。
   
• 2019年4月：Apache HTTP Server 2.4（CVE-2019-0211）中的漏洞 有权在 Web 服务器上编写脚本的用户可以将那些特权提升为 root。此问题有一个公共漏洞利用。
   
• 2019年4月：Apache Axis 的较早版本中的一个漏洞，该漏洞分析了从过期域中不安全地检索的文件，从而允许远程执行代码（CVE-2019-0227）。
   
• 2019年6月：Jonathan Leitschuh 发现大量 Java 构建依赖项通过不安全的路径（即 HTTP 而非 HTTPS）下载后，与我们联系。我们并未将这些漏洞本身归类为安全漏洞，因为利用它们会在构建时需要 MITM 攻击。我们与 ASF 项目（包括报告者确定的项目）合作，以确保我们使用安全的 URL。现在，到 2020 年，许多存储库都需要安全 URL。
   
• 2019年8月：Black Duck Synopsys 团队审查了较旧的 Struts 版本和公告，并在报告的受影响版本中发现了一些差异。Struts 团队会仔细研究他们的发现并在需要时发布更正。如果用户正在运行旧版本，而他们认为这些旧版本实际上不受建议的影响，那么这可能非常重要。但是，那些相同的用户很可能会受到自此之后已解决的其他问题的攻击，因此我们始终建议用户升级到最新版本的 Struts，以确保其版本包含针对所有已发布的安全问题的修复程序。
   
• 2019年8月：Netflix 发现了许多拒绝服务漏洞，这些漏洞影响了各种 HTTP/ 2实现。对包含 HTTP/ 2 实现的 ASF 项目进行了调查并分析了所报告的问题。Apache HTTP Server 和 Apache TrafficServer 均发布了更新，以解决影响它们的拒绝服务问题。Apache Tomcat 还对 HTTP/ 2 处理进行了性能改进，但是这些问题并未归类为拒绝服务。
   
• 2019年9月：RiskSense 报告重点介绍了勒索软件已知使用的漏洞，其中包括 ASF 项目中的四个漏洞。这四个漏洞在早些年都已修复，并且在任何勒索软件利用它们之前，都具有可用的更新和缓解措施。用户应始终确保他们在使用的任何 ASF 项目中关注安全更新，并为任何远程或严重漏洞确定更新的优先级。
   
• 2019年12月：Apache Olingo 中的一个漏洞允许 XML 外部实体（XXE）攻击（CVE-2019-17554）。例如，可以使用此问题从服务器检索任意文件。存在一个针对此问题的公共利用示例。
   
• 一年来，Apache Solr 中存在许多漏洞，这些漏洞可能允许远程执行代码。存在针对某些问题的公共漏洞利用以及 Metasploit 模块。
   
• 欧盟委员会 EU-FOSSA 2 项目赞助了漏洞赏金计划，供用户在 Apache Kafka 和 Apache Tomcat 中发现安全问题。Apache Kafka 中未解决任何问题。Apache Tomcat 中修复了两个问题：CVE-2019-0232（严重性，影响 Windows 平台，提供包括 Metasploit 模块的公共漏洞利用）和CVE-2019-0221（低严重性）。除了提供漏洞赏金外，EU-FOSSA 2 还于 2019 年 6 月赞助了一次成功的黑客马拉松。

ASF表示，“ Apache Software Foundation 项目高度多样化且独立。它们具有不同的语言，社区，管理和安全模型。但是，每个项目的共同点之一是如何处理报告的安全问题的一致过程” 。并称，“该报告提供了 2019 日历年的指标，显示了从我们收到的 18,000 封电子邮件中整理了 300 多个漏洞报告，从而修复了 100 多个（CVE）问题。”