OpenRASP v1.2.2 發布,修復 v8::Abort() 等問題

←手機掃碼閱讀     admin @ 2019-12-03 , reply:0

OpenRASP於2017年4月立項,其初衷是為了提供一套通用的安全框架,並提高應用對未知漏洞的防護能力。Struts2 系列漏洞屬於典型的未知漏洞。從 S2-001 到最新的 S2-057,它的特點是請求特徵在不斷變化,最終通過某種方式執行OGNL語句或者反序列化,接著獲取系統許可權。

RASP防護引擎運行與應用內部,可以很好的解決這個問題。無論是何種漏洞,它的最終目的無非是: 執行系統命令、上傳webshell、拖庫等等。於是我們實現了這樣的安全框架: 不依賴請求特徵檢測攻擊,而是在應用執行上述關鍵操作時,執行一段自定義的邏輯檢查是否存在異常。

本次發布 OpenRASP 1.2.2 版本,徹底解決 v8::Abort() 問題,並修復開源社區報告的多個問題

升級說明

管理後台

  • 後台升級完成後,還需要再手動執行 ./rasp-cloud -upgrade 121to122 來更新 MongoDB
    • 增加 X-Protected-By: OpenRASP 相關配置
    • 請求 body 大小限制改為 12KB
    • 支持在線升級,但執行過程中請不要在後台修改配置

新增功能

通用改進

  • 徹底解決 v8::Abort() 崩潰問題
  • 升級 v8 到最新版本: 7.8.279.19
  • 支持隱藏 X-Protected-By: OpenRASP 響應頭

自動安裝程序

  • 支持通過 -heartbeat/--heartbeat 參數自定義心跳間隔

Java 版本

  • 增加 WebSphere 7.X 支持。由於IBM JDK限制,文件相關檢測點無法生效
  • 當插件沒有註冊 request/requestEnd 檢測點,不再構造相關參數以提高性能

檢測插件

  • 攔截基於 bsh.servlet.BshServlet 的命令執行操作,e.g CNVD-2019-32204
  • 攔截基於 jdk.scripting.nashorn 的命令執行操作

BUG 修復

Java 版本

  • 修復部分情況下,Java 無法獲取字元流請求 body 的問題

PHP 版本

  • 修復當關閉 plugin.filter 時,包含 .php/.inc 文件不會進入插件的問題
  • 對於 multipart 請求,單獨提取參數,解決產生報警時沒有請求 body 的問題

檢測插件

  • 修復用戶報告的 replaceAll 函數內存佔用過高問題
  • 修復 @Looke 報告的 xss_userinput 繞過問題




[admin ]

來源:OsChina
連結:https://www.oschina.net/news/111776/openrasp-1-2-2-released
OpenRASP v1.2.2 發布,修復 v8::Abort() 等問題已經有15次圍觀

http://coctec.com/news/all/show-post-220634.html