Apache HugeGraph трещит по швам под натиском кибератак

Злоумышленники активно эксплуатируют недавно выявленную критическую уязвимость в Apache HugeGraph-Server, которая может привести к удалённому выполнению кода. Обозначенная как CVE-2024-27348 с оценкой 9.8 по шкале CVSS, уязвимость затрагивает все версии программного обеспечения до 1.3.0. Она описана как ошибка выполнения удалённого кода в API языка обхода графа Gremlin.

Apache Software Foundation в конце апреля 2024 года рекомендовал пользователям обновиться до версии 1.3.0 с Java 11 и включить систему аутентификации, которая устраняет эту проблему. Также было рекомендовано включить функцию «Whitelist-IP/port» для повышения безопасности выполнения RESTful-API.

Компания по тестированию на проникновение SecureLayer7 в начале июня выпустила дополнительные технические подробности об уязвимости, заявив, что она позволяет злоумышленникам обходить ограничения песочницы и выполнять код, получая полный контроль над уязвимым сервером.

На этой неделе специалисты Shadowserver сообщили, что заметили попытки эксплуатации уязвимости в реальных условиях, что делает крайне важным быстрое применение последних исправлений.

«Мы наблюдаем попытки эксплуатации уязвимости Apache HugeGraph-Server CVE-2024-27348 через «POST /gremlin» из различных источников», — сообщили в Shadowserver. «PoC-код доступен с начала июня. Если вы используете HugeGraph, обязательно обновитесь».

В последние годы уязвимости, обнаруженные в проектах Apache, стали выгодными точками атаки для государственных и финансово мотивированных злоумышленников. Такие уязвимости, как найденные в продуктах Log4j, ActiveMQ и RocketMQ, долгое время подвергались интенсивной эксплуатации для проникновения в целевые среды.

Уязвимости могут эксплуатироваться злоумышленниками годами даже после выпуска исправлений. Поэтому ключевая задача команд безопасности — не просто знать о патчах, а оперативно и систематически применять все обновления безопасности. Промедление в этом вопросе оставляет цифровые двери открытыми для атак, подвергая организацию постоянному риску. Своевременное обновление в наше время — это не роскошь, а суровая необходимость.