Comments on: Závažná bezpečnostní chyba ve Springu odhalena!

By: Oto 'tapik' Buchta

Oto 'tapik' Buchta — Mon, 18 Aug 2008 09:53:16 +0000

Tak Vám nevím, ale kdo používá beanu na získávání dat z formuláře přímým kopírováním A na držení nějakých jiných důležitých dat či parametrů, tak to u mne není programátor, ale bastlíř. Může se vám to nelíbit, můžete s tím nesouhlasit… ale to je tak asi všechno, co s tím můžete dělat.

A opět jsme u oné přeframeworkovanosti. Spring MVC umožní něco udělat, dělá onu činnost dobře, ale člověkovi, který to používá, ani nedojde, že dělá prasárnu.

By: Robert Novotny

Robert Novotny — Sun, 20 Jul 2008 08:44:12 +0000

Pokial viem, tak v Kosiciach sa _az_ take dramaticke veci nedeju Ale nie o tom som chcel.

Urcite okolo toho netreba robit az taky ,,povyk” - pride mi to ako zo servera java.bleskovky.cz. Mam ale pocit, ze nie kazdy cital povodne oznamenie, ktore rozhodne nebolo take dramaticke.

“We first discovered the vulnerabilities about four or five months ago,” Berg said. “We found a posting from 2004 on a form that said if you’re doing this, this could be a security issue. But there wasn’t any follow up or good dialogue on how to fix this. There wasn’t a lot of awareness.”

It’s important to note, Berg said, that the vulnerabilities are not flaws in the framework. “The issue is developers not understanding the complexity of the framework they’re using,” he said.

Cize dolezite je to, ze to treba zvyraznit v dokumentacii, lebo nie kazdy o tom moze vediet, resp. nie kazdy si to moze uvedomit.

By: benzin

benzin — Fri, 18 Jul 2008 10:54:26 +0000

Ale vzdyt binding si dela kazdy sam. In metoda initBinding tam je, takze nevim co kdo sili. Comandy, ktere jsou publikovane na webovou vrstvu, slouzi stejne jenom jako prenoska dat (ano muze tam byt i logika, nicmene je to hlavne prenoska na data), nechci-li po nekom aby mi nejake data daval, tak mu na to nebudu davat prenosku.

To jako by nekdo rekl, ze z requestu getProperty je bezpecnostni chyb, protoze mi v tom muze kdokoli cokoli poslat.

By: Honza Novotný

Honza Novotný — Fri, 18 Jul 2008 05:41:37 +0000

Taky bych řekl, že jediný problém je v neznalosti metody setDisallowedFields(…).

U ostatních frameworků je to tak trochu diskutabilní. Nebezpečné to bylo až donedávna u Stripesů, nicméně po zavedení anotací @AllowBinding a @DenyBinding už je to opět jen na erudovanosti programátora.

Strutsy vás nutily vytvořit si speciální třídu (extends ActionForm) pro webovou vrstvu, a měli jste dvě volby

- buď duplikovat property ve dvou objektech (jedenkrát v ActionForm a podruhé v interním POJO)
- nebo POJO prsknout jako nested beanu do ActionForm a ouha, už máte “security issue”

No prostě bych řekl, že se současnou úrovní frameworků je obvykle chyba spíš na straně programátora a jeho neznalosti než ve frameworku samém.

By: mnagas

mnagas — Thu, 17 Jul 2008 22:25:00 +0000

clanek jsem dneska na serverside cetl a podle diskuse dole nejsme asi jediny dva, kterym se oznaceni “critical securiry issue” nepozdava.