OpenRASP v1.2.2 发布,修复 v8::Abort() 等问题

OpenRASP于2017年4月立项,其初衷是为了提供一套通用的安全框架,并提高应用对未知漏洞的防护能力。Struts2 系列漏洞属于典型的未知漏洞。从 S2-001 到最新的 S2-057,它的特点是请求特征在不断变化,最终通过某种方式执行OGNL语句或者反序列化,接着获取系统权限。

RASP防护引擎运行与应用内部,可以很好的解决这个问题。无论是何种漏洞,它的最终目的无非是: 执行系统命令、上传webshell、拖库等等。于是我们实现了这样的安全框架: 不依赖请求特征检测攻击,而是在应用执行上述关键操作时,执行一段自定义的逻辑检查是否存在异常。

本次发布 OpenRASP 1.2.2 版本,彻底解决 v8::Abort() 问题,并修复开源社区报告的多个问题

升级说明

管理后台

  • 后台升级完成后,还需要再手动执行  ./rasp-cloud -upgrade 121to122
     来更新 MongoDB
    X-Protected-By: OpenRASP
    

新增功能

通用改进

v8::Abort()
X-Protected-By: OpenRASP

自动安装程序

Java 版本

  • 增加 WebSphere 7.X 支持。由于IBM JDK限制,文件相关检测点无法生效
  • 插件没有注册 request/requestEnd 检测点,不再构造相关参数以提高性能

检测插件

  • 拦截基于 bsh.servlet.BshServlet 的命令执行操作,e.g CNVD-2019-32204
  • 拦截基于 jdk.scripting.nashorn 的命令执行操作

BUG 修复

Java 版本

  • 修复部分情况下,Java 无法获取字符流请求 body 的问题

PHP 版本

  • 修复当关闭  plugin.filter
     时,包含  .php/.inc
     文件不会进入插件的问题
  • 对于 multipart 请求,单独提取参数,解决产生报警时没有请求 body 的问题

检测插件

  • 修复用户报告的 replaceAll 函数内存占用过高问题
  • 修复 @Looke 报告的 xss_userinput 绕过问题

原文 

https://www.oschina.net/news/111776/openrasp-1-2-2-released

本站部分文章源于互联网,本着传播知识、有益学习和研究的目的进行的转载,为网友免费提供。如有著作权人或出版方提出异议,本站将立即删除。如果您对文章转载有任何疑问请告之我们,以便我们及时纠正。

PS:推荐一个微信公众号: askHarries 或者qq群:474807195,里面会分享一些资深架构师录制的视频录像:有Spring,MyBatis,Netty源码分析,高并发、高性能、分布式、微服务架构的原理,JVM性能优化这些成为架构师必备的知识体系。还能领取免费的学习资源,目前受益良多

转载请注明原文出处:Harries Blog™ » OpenRASP v1.2.2 发布,修复 v8::Abort() 等问题

赞 (0)
分享到:更多 ()

评论 0

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址