Злоумышленники активно эксплуатируют недавно выявленную критическую уязвимость в Apache HugeGraph-Server, которая может привести к удалённому выполнению кода. Обозначенная как CVE-2024-27348 с оценкой 9.8 по шкале CVSS, уязвимость затрагивает все версии программного обеспечения до 1.3.0. Она описана как ошибка выполнения удалённого кода в API языка обхода графа Gremlin.
Apache Software Foundation в конце апреля 2024 года рекомендовал пользователям обновиться до версии 1.3.0 с Java 11 и включить систему аутентификации, которая устраняет эту проблему. Также было рекомендовано включить функцию “Whitelist-IP/port” для повышения безопасности выполнения RESTful-API.
Компания по тестированию на проникновение SecureLayer7 в начале июня выпустила дополнительные технические подробности об уязвимости, заявив, что она позволяет злоумышленникам обходить ограничения песочницы и выполнять код, получая полный контроль над уязвимым сервером.
На этой неделе специалисты Shadowserver сообщили, что заметили попытки эксплуатации уязвимости в реальных условиях, что делает крайне важным быстрое применение последних исправлений.
“Мы наблюдаем попытки эксплуатации уязвимости Apache HugeGraph-Server CVE-2024-27348 через “POST /gremlin” из различных источников”, – сообщили в Shadowserver. “PoC-код доступен с начала июня. Если вы используете HugeGraph, обязательно обновитесь”.
В последние годы уязвимости, обнаруженные в проектах Apache, стали выгодными точками атаки для государственных и финансово мотивированных злоумышленников. Такие уязвимости, как найденные в продуктах Log4j, ActiveMQ и RocketMQ, долгое время подвергались интенсивной эксплуатации для проникновения в целевые среды.
Уязвимости могут эксплуатироваться злоумышленниками годами даже после выпуска исправлений. Поэтому ключевая задача команд безопасности – не просто знать о патчах, а оперативно и систематически применять все обновления безопасности. Промедление в этом вопросе оставляет цифровые двери открытыми для атак, подвергая организацию постоянному риску. Своевременное обновление в наше время – это не роскошь, а суровая необходимость.