Faʻamatalaga:
O le ā le Vulnerability o le RCE (Remote Code Execution Vulnerability)? #
O le vaivaiga o le Remote Code Execution (Vailaau o le RCE) o se tasi lea o faʻaletonu sili ona taua i le saogalemu i polokalama faakomepiuta. O le vaivaiga o le RCE e mafai ai e se tagata osofaʻi ona faʻatinoina se code faʻafuaseʻi i luga o se faiga faʻatatau mamao, e aunoa ma le maliega poʻo le iloa e le tagata faʻaoga. A faʻaaogaina, o le vaivaiga o le RCE e mafai ona tuʻuina atu i tagata osofaʻi le pule atoatoa i luga o le faiga ua faʻaleagaina, ma mafai ai ona latou gaoia faʻamatalaga taua, faʻalavelave i auaunaga, faʻapipiʻi polokalame leaga, pe faʻateleina avanoa i luga o le atinaʻe atoa. O vaivaiga o le RCE e masani ona faʻatulagaina i totonu o faʻafitauli sili ona ogaoga i le faiga o togi CVSS ma o loʻo i totonu o vasega vaivaiga e sili ona faʻaaogaina i osofaʻiga i le lalolagi moni.
Faitau e uiga i le aoga Pulea Fa'aletonu.
E Faapefea Ona Galue le Faagasologa o le Faaaogaina o Mea? #
E tupu se vaivaiga RCE pe a taulimaina e se talosaga ni fa'amatalaga e le fa'atuatuaina i se auala e mafai ai e tagata osofa'i ona fa'aofi ma fa'atino code leagaO se vaivaiga o le faʻatinoina o tulafono mamao e masani ona mafua mai i faiga faʻailoga e le saogalemu, le le lava o le faʻamaoniga o le ulufale, poʻo ni faʻafitauli i totonu o mea e faʻalagolago i ai isi vaega. O loʻo i lalo o le a e vaʻai ai i le mea e aofia ai i se faiga masani o le faʻaaogaina:
- Tui: E fatuina e le au osofaʻi ni tusitusiga leaga poʻo ni code e mafai ona faʻatinoina ma tuʻuina atu i totonu o fanua faʻaofi o le talosaga, API endpoints, poʻo isi auala fesoʻotaʻiga
- Galuega faatino: O le polokalama vaivai e fa'aliliu sese pe fa'atino le uta ua tuiina, ma tu'uina atu ai i lea auala le pule i tagata osofa'i, le pule i galuega fa'apitoa po'o le faiga atoa fo'i.
- Aafiaga: e fuafua i le ituaiga o faiga fa'aaoga sese, e mafai e tagata osofa'i ona fa'ateleina avanoa, fa'apipi'i polokalame leaga, aveese fa'amatalaga taua, pe fa'alavelave fo'i i le fa'agaioiga o le polokalama.
Va'ai i la matou fa'asologa o pou i luga o le blog i luga o PPE & I-PPE
Mafua'aga Masani o Vaivaiga o le RCE #
O le malamalama i mafuaʻaga autū o vaivaiga o le RCE e taua tele mo le puipuiga. O mafuaʻaga e masani ona tupu e aofia ai:
Le leai o se fa'amaoniga o le ulufale maiAfai e le fa'amaonia pe fa'amamaina lelei mea e fa'aoga e tagata fa'aoga, e mafai e tagata osofa'i ona fa'aaogaina lenei vaivaiga e fa'aofi sa'o ai le code leaga i totonu o le polokalama.
Fa'amama le saogalemu o le fa'asologaO talosaga e aveese le faasologa o faʻamaumauga e le faʻatuatuaina e aunoa ma se faʻamaoniga e faigofie ona aʻafia i osofaʻiga a le RCE, aua e mafai ona faʻapipiʻiina uta leaga i totonu o mea faʻasolosolo.
Vaega o polokalame tuaiO vaivaiga i faletusi a isi vaega poʻo faʻalagolago i punaoa tatala e faʻaaogaina e se talosaga e mafai ona faʻaalia ai i tulaga lamatia RCE, aemaise lava pe a le vave faʻaogaina ni faʻapipiʻi.
Fa'atonuga leleiO fa'atulagaga sese i totonu o 'upega tafa'ilagi, API, po'o siosiomaga fa'agaoioia e mafai ona fausia ai ni auala mo tagata osofa'i e fa'atino ai se tulafono e le'i fa'atagaina.
Fa'aletonu o le manatua e mafai ona fa'aaogainaO le soona fa'aopoopo o le buffer, fa'aleagaina o le manatua, po'o le fa'aaogaina le saogalemu o galuega faatino a le system e mafai ona fa'atagaina ai tagata osofa'i e fa'aofi ma fa'atino ni code fa'afuase'i i le tulaga o le operating system.
Taunuuga o Vaivaiga o le RCE #
O taunuuga o se vaivaiga RCE e faʻalagolago i le lautele o le faiga faʻaaogaina ae e masani ona aofia ai:
Soliga o Faʻamatalaga: E mafai e tagata osofaʻi ona maua, suia, pe gaoi faʻamatalaga taua o loʻo teuina i totonu o le polokalama ua faʻaleagaina.
Fa'alavelave Auaunaga: E mafai e le fa'aaogaina sese o le RCE ona mafua ai le taimi e le fa'agaoioia ai auaunaga, fa'alavelaveina ai auaunaga, pe i'u ai i tulaga e te'ena ai le auaunaga.
Fa'aogaina Malware: E mafai e tagata osofaʻi ona faʻapipiʻi backdoors, ransomware, poʻo isi polokalama leaga i le polokalama faʻatatau i ai.
Fa'aleagaina Tauleleia: O faʻalapotopotoga e aʻafia i vaivaiga o le RCE e masani ona feagai ma suʻesuʻega a le lautele, leiloa o le faʻatuatuaga o tagata faʻatau, ma ono i ai ni noataga faaletulafono.
Tupe gau: O le toe maua mai o faʻamaumauga, sala tupe faʻatonutonu, ma faʻalavelave faʻatino e mafai ona iʻu ai i ni aʻafiaga tau tupe tetele.
Auala e Puipuia ai Vaivaiga o le RCE #
O le faʻaitiitia lelei o vaivaiga o le RCE e manaʻomia ai se tuʻufaʻatasiga o faiga faʻaleleia saogalemu ma puipuiga o le taimi e faʻatino ai:
Fa'amaoniga ma le fa'amamaina o le ulufale maiIa mautinoa ua fa'amamāina lelei mea uma e ulufale mai ai ina ia puipuia ai le fa'aofiina o tulafono fa'aleaga. Faaaoga faletusi ma fa'avae saogalemu mo le taulimaina o mea e ulufale mai ai i totonu o polokalama uma.
Saogalemu faiga fa'ailogaFa'aaoga taiala fa'akomepiuta saogalemu e fa'aitiitia ai vaivaiga mai le amataga. Fa'aaoga SAST (Su'ega o le Saogalemu o Talosaga Tumau) ma DAST (Su'ega Saogalemu o Talosaga Fa'agaoioia) meafaigaluega e iloa ai faʻafitauli RCE e ono tulaʻi mai i le taimi o le atinaʻeina ma le taimi e faʻatino ai.
Puleaina o patchFa'afou soo polokalama faakomepiuta, faletusi, ma fa'alagolago i punaoa tatala e foia ai vaivaiga ua iloa e le RCE a'o le'i mafai ona fa'aaogaina.
Puipuiga o le Deserialization: Aloese mai le aveeseina o faʻamaumauga e le faʻatuatuaina pe faʻaaoga faʻavae faʻasolosolo faʻatasi ai ma puipuiga faʻapitoa e puipuia ai osofaʻiga faʻapipiʻi mea faitino.
Puipuiga o le taimi e fa'agaoioi aiFa'atino ni fofo puipuia-o-le-tagata lava ia (RASP) i le taimi e fa'agaoioia ai le polokalama fa'agaoioia e iloa ai ma puipuia ai le fa'atinoina o avega leaga i siosiomaga ola.
Fa'amalosia o le avanoa aupito itiiti: Fa'atapula'a fa'atagaga o le polokalama ma fa'amalosia le mataupu faavae o le avanoa aupito itiiti e fa'aitiitia ai le radius o le pa o se fa'aaogaina manuia o le RCE.
Software supply chain securityMata'ituina fa'alagolago i punaoa tatala mo vaivaiga RCE ua iloa ma vaega leaga e fa'aaoga ai SCA meafaigaluega e iloa ai polokalama leaga i le taimi moni, talu ai o osofaʻiga a le sapalai o loʻo faʻateleina le faʻaaogaina o le RCE faʻalagolago e fai ma auala e ulufale ai.
Aiseā e Faamuamua ai Vaivaiga o le RCE mo Pule o le Puipuiga ma 'Au a le DevSecOps? #
O vaivaiga o le Remote Code Execution o se tasi lea o faʻamataʻu sili ona taua i polokalame faʻaonaponei. O lo latou gafatia e faʻatagaina ai tagata osofaʻi e faʻatino polokalame leaga mai mamao, e masani ona oʻo atu ai i le solia o faʻamaumauga, faʻalavelaveina o auaunaga, ma gau o tupe, e avea ai faiga faʻamalosi o le saogalemu ma mea e manaʻomia, ae le o se filifiliga.
Mo 'au a le DevSecOps, o vaivaiga o le RCE e matuā tāua tele auā e mafai ona fa'alauiloaina i le tele o vaega o le olaga atoa o le atina'eina o polokalama faakomepiuta: i totonu o le code fa'apitoa, i totonu o fa'alagolago i punaoa tatala, i totonu CI/CD pipeline fa'atulagaga, ma i totonu o fa'ata'ita'iga o atina'e-e pei o se code. O se vaivaiga e tasi o le RCE e le'i fa'apipi'iina i totonu o se faletusi a isi vaega e mafai ona fa'aalia ai se siosiomaga gaosiga atoa a le fa'alapotopotoga.
Xygeni fesoasoani i 'au puipuiga ma 'au inisinia e fa'ailoa, fa'amuamua, ma toe fa'aleleia vaivaiga o le RCE i vaega uma SDLC (tuufa'atasi SAST, SCA, DAST, ma le iloa moni o polokalama leaga i le taimi moni i totonu o se fausaga e tasi, ina ia mafai ai e 'au ona taula'i atu i vaivaiga e mafua ai ni lamatiaga moni ma fa'aaogaina.
👉 Tusi se Fa'ata'ita'iga i le Asoy
