DevSecOps: tööpõhimõtted ja SCA võrdlus. Esimene osa

Kolmanda osapoole tarkvara komponente analüüsimise tähtsus (ingl. k. Software Composition Analysis — SCA) arendusprotsessis kasvab koos iga-aastaste aruannetega avatud lähtekoodi teeki seonduvatest haavatavustest, mida avaldavad ettevõtted Synopsys, Sonatype, Snyk, White Source. Vastavalt aruande... Avatud Lähtekoodi Julgeoleku Haavatavuste Oleku Aruanne 2020 avastatud haavatuste arv avatud lähtekoodis 2019. aastal kasvas peaaegu 1,5 korda võrreldes eelmise aastaga, samas kui avatud lähtetekstiga komponente kasutatakse 60% kuni 80% projektidest. Kui tugineda sõltumatule arvamusele, on SCA protsessid OWASP SAMM ja BSIMM eraldi praktikad, mis näitavad küpsuse taset, ja 2020. aasta esimeses pooles avaldas OWASP uue standardi OWASP Software Component Verification Standard (SCVS), mis pakub parimaid tavasid kolmandate isikute komponentide kontrollimiseks tarkvara tarneahelas.

Üks kõige iseloomulikumaid juhtumeid leidis aset ettevõtte Equifax juures mai 2017. aastal. Teadmata kurjategijad said kätte 143 miljoni ameeriklase isikuandmed, sealhulgas täisnimesid, aadresse, sotsiaalhoolekande numbreid ja juhilube. 209 000 juhul sisaldasid dokumendid ka ohvrite pangakaarditeavet. See lekke juhtum toimus kritilise haavatavuse tõttu Apache Struts 2-s (CVE-2017-5638), samas kui parandustöötlus oli avaldatud juba märtsis 2017. Ettevõttel oli kaks kuud uuenduse installimiseks, kuid keegi ei olnud sellega mures.

Käesolevas artiklis arutatakse tööriista valimise küsimust SCA läbiviimiseks analüüsi tulemuste kvaliteedi seisukohalt. Samuti tuuakse esile tööriistade funktsionaalne võrdlus. CI/CD-sse integreerimise protsessi ja võimalusi käsitleme järgmistes väljaannetes. Lai tööriistade nimekiri on esitatud OWASP oma veebilehe kaudu, kuid praeguses ülevaates käsitleme vaid kõige populaarsemaid avatud lähtekoodi tööriistu Dependency Check, veidi vähem tuntud avatud lähtekoodi platvormi Dependency Track ja ettevõtte lahendust Sonatype Nexus IQ. Samuti uurime, kuidas need lahendused töötavad ja võrdleme saadud tulemusi valehäirete osas.

Töö принцип

Dependency Check — see on utiliit (CLI, maven, jenkins moodul, ant), mis analüüsib projekti faile, kogub teavet sõltuvuste kohta (paketi nimi, grupp, spetsifikatsiooni pealkiri, versioon...), koostab CPE (Common Platform Enumeration) stringi, pakendi URL (PURL) ja tuvastab CPE/PURL jaoks haavatavused andmebaasidest (NVD, Sonatype OSS Index, NPM Audit API...), millele järgneb ühekordse aruande koostamine HTML, JSON, XML vormingus...

Vaatame, kuidas CPE välja näeb:

cpe:2.3:part:tootja:toode:versioon:uuendus:väljaanne:keel:sw_edition:target_sw:target_hw:muu

• Osa: Märkus, et komponent kuulub rakendusse (a), operatsioonisüsteemi (o), riistvarasse (h) (kohustuslik punkt)
• Tootja: Toote tootja nimi (kohustuslik punkt)
• Toode: Toote nimi (kohustuslik punkt)
• Versioon: Komponendi versioon (aegunud punkt)
• Uuendus: Paketi uuendus
• Väljaanne: Pärandversioon (aegunud punkt)
• Keel: Keel, määratletud RFC-5646-s
• SW väljaanne: Tarkvara versioon
• Kaasnevad SW: Tarkvarakeskkond, kus toode töötab
• Kaasnevad HW: Riistvara keskkond, kus toode töötab
• Muu: Teave teenusepakkuja või toote kohta

CPE näide näeb välja järgmiselt:

cpe:2.3:a:pivotal_software:spring_framework:3.0.0:*:*:*:*:*:*:*

String näitab, et CPE versioon 2.3 kirjeldab rakenduse komponenti tootjalt pivotal_software nimega spring_framework versiooniga 3.0.0. Kui avame haavatavuse CVE-2014-0225 NVD-s, siis näeme selle CPE ametlikku mainimist. Esimene probleem, millele kohe tähelepanu pöörata — CVE NVD-s, vastavalt CPE-le, teatab raamistikus olevast probleemist, mitte konkreetses komponendis. See tähendab, et kui arendajad on tihedalt seotud raamistikuga ja tuvastatud haavatavus ei puuduta neid mooduleid, mida arendajad kasutavad, peab turvaspetsialist õigel või vääral tingimusel selle CVE läbi vaatama ja värskendamise üle järele mõtlema.

URL-i aadressit kasutatakse ka SCA tööriistade poolt. Paketi URL-i formaat on järgmine:

skeem:tüüp/nimi@versioon?kvalifikaatorid#subpath

• Skeem: Oleks alati ‘pkg’, näidates, et see on paketi URL (kohustuslik punkt)
• Tüüp: Paketi 'tüüp' või 'protokoll', näiteks maven, npm, nuget, gem, pypi jne (kohustuslik punkt)
• Nimi ruum: Mõned nime prefiksid, nagu Maven'i rühma identifikaator, Docker'i pildi omanik, GitHub'i kasutaja või organisatsioon. Valikuline ja sõltub tüübist.
• Nimi: Paketi nimi (kohustuslik punkt)
• Versioon: Paketi versioon
• Kvalifikaatorid: Lisa kvalifikatsioonide andmed paketi, nagu operatsioonisüsteem, arhitektuur, jaotamine jne. Valikuline ja sõltub tüübist.
• Alamtee: Täiendav tee paketis, mis asub paketi juurest.

Näiteks:

pkg:golang/google.golang.org/genproto#googleapis/api/annotations
pkg:maven/org.apache.commons/io@1.3.4
pkg:pypi/django-package@1.11.1.dev1

Dependency Track — kohapealne veebiplatvorm, mis aktsepteerib valmis komponente (BOM), mis on koostatud. CycloneDX ja SPDX, st valmis spetsifikatsioonid olemasolevatest sõltuvustest. See on XML-fail, mis kirjeldab sõltuvusi — nimi, hashes, paketi URL, väljaandja, litsents. Seejärel analüüsib Dependency Track BOM'i, uurib olemasolevate sõltuvuste CVE-d, kasutades haavatavuste andmebaasi (NVD, Sonatype OSS Index ...), pärast mida koostab diagramme, arvutab mõõdikuid ja värskendab regulaarselt komponentide haavatavuse staatuse andmeid.

Näide sellest, kuidas BOM XML-formaadis välja näeb:

Apache
      org.apache.tomcat
      tomcat-catalina
      9.0.14
      
        3942447fac867ae5cdb3229b658f4d48
        e6b1000b94e835ffd37f4c6dcbdad43f4b48a02a
        f498a8ff2dd007e29c2074f5e4b01a9a01775c3ff3aeaf6906ea503bc5791b7b
        e8f33e424f3f4ed6db76a482fde1a5298970e442c531729119e37991884bdffab4f9426b7ee11fccd074eeda0634d71697d6f88a460dce0ac8d627a29f7d1282
      
      
        
          Apache-2.0
        
      
      pkg:maven/org.apache.tomcat/tomcat-catalina@9.0.14
    
      

BOM'i saab kasutada mitte ainult Dependency Track'i sisendparameetriteks, vaid ka tarkvara koostisosade inventeerimiseks tarneahelas, näiteks tarkvara kliendile esitamiseks. 2014. aastal esitati USA-s isegi seaduseelnõu „Kybervarustuse haldamise ja läbipaistvuse seadus 2014”, mis sätestas, et tarkvara hankimisel peab iga riigiasutus küsima BOM'i, et vältida haavatavate komponentide kasutamist, kuid seadus ei jõustunud.

Tagasi tulles SCA juurde, on Dependency Track'il valmislahendused teavitamisplatvormidega, nagu Slack, ja haavatavuste haldamise süsteemidega, nagu Kenna Security. Tasub ka märkida, et Dependency Track tuvastab vananenud versioonid paketidest ja pakub teavet litsentside kohta (SPDX-toe kaudu).

Kui rääkida just SCA kvaliteedist, siis siin on põhimõtteline erinevus.

Dependency Track ei võta projekti sisendina, vaid võtab täpselt BOM-efekti. See tähendab, et kui me soovime projekti kontrollida, peame esmalt genereerima bom.xml, näiteks CycloneDX abil. Nii sõltub Dependency Track otseselt CycloneDX-st. Samas annab see võimaluse kohandamiseks. Nii kirjutaski OZONi meeskond CycloneDX moodul BOM-failide koostamiseks Golangi projektidele edasise skaneerimise eesmärgil läbi Dependency Tracki.

Nexus IQ on Sonatype'i kommertslahendus SCA jaoks, mis on osa Sonatype'i ökosüsteemist, kuhu kuulub ka Nexus Repository Manager. Nexus IQ suudab vastu võtta nii war-arhiive (Java projektide jaoks) veebiliidese või API kaudu kui ka BOM-e, kui teie organisatsioon ei ole jõudnud CycloneDX-lt uue lahenduse peale üle minna. Erinevalt avatud lähtekoodiga lahendustest, käsitleb IQ mitte ainult CP/PURL-i tuvastatud komponendi ja vastava haavatavuse andmebaasist, vaid arvestab ka oma uuringutega, näiteks haavatava funktsiooni või klassi nimega. IQ mehhanismid käsitletakse hiljem tulemuste analüüsimisel.

Kokkuvõtteks vaatame mõned funktsionaalsete omaduste kokkuvõtted, samuti toetatud programmeerimiskeeli analüüsimiseks:

Keele
Nexus IQ
Dependency Check
Dependency Track

Java
+
+
+

C/C++
+
+
—

C#
+
+
—

.Net
+
+
+

Erlang
—
—
+

JavaScript (NodeJS)
+
+
+

PHP
+
+
+

Python
+
+
+

Ruby
+
+
+

Perl
—
—
—

Scala
+
+
+

Objective C
+
+
—

Swift
+
+
—

R
+
—
—

Go
+
+
+

Funktsionaalsed võimalused

Funktsionaalsed võimalused
Nexus IQ
Dependency Check
Dependency Track

Võime tagada komponentide kontrolli, mis on kasutatud lähtekoodis, litsentsi puhtuse osas
+
—
+

Võime skaneerida ja analüüsida haavatavuste ja litsentsi puhtuse osas Docker'i pilte
+ Integreerimine Clairiga
—
—

Võime seadistada turvapoliitikaid avatud lähtekoodiga raamatukogude kasutamiseks
+
—
—

Võime skaneerida avatud lähtekoodiga repo-sid haavatavate komponentide leidmiseks
+ RubyGems, Maven, NPM, Nuget, Pypi, Conan, Bower, Conda, Go, p2, R, Yum, Helm, Docker, CocoaPods, Git LFS
—
+ Hex, RubyGems, Maven, NPM, Nuget, Pypi

Erialase uurimisrühma olemasolu
+
—
—

Töö suletud kontekstis
+
+
+

Kolmandate osapoolte andmebaaside kasutamine
+ Sonatype'i suletud andmebaas
+ Sonatype OSS, NPM Public Advisors
+ Sonatype OSS, NPM Public Advisors, RetireJS, VulnDB, toetus enda haavatavuste andmebaasile

Võime filtreerida avatud lähtekoodiga komponente arendusprotsessi kiirusel vastavalt seadistatud poliitikatele
+
—
—

Soovitused haavatavuste parandamiseks, koos viidete olemasoluga parandamisele
+
+- (sõltub avalikest andmebaasidest)
+- (sõltub avalikest andmebaasidest)

Tuletatud haavatavuste järjestamine kriitilisuse järgi
+
+
+

Juurdepääsu rollimudel
+
—
+

Kommando-liidese (CLI) tugi
+
+
+- (ainult CycloneDX jaoks)

Haavatavuste väljavõtt ja sortimine määratletud kriteeriumide alusel
+
—
+

Rakenduste staatuse juhtpaneel
+
—
+

Aruannete genereerimine PDF-formaadis
+
—
—

Aruannete genereerimine JSONCSV formaadis
+
+
—

Venekeelse toe olemasolu
—
—
—

Integratsiooni võimalused

Integreerimine
Nexus IQ
Dependency Check
Dependency Track

LDAP/Active Directory integratsioon
+
—
+

Pideva integreerimise (continous integration) süsteemi integreerimine Bamboo
+
—
—

Pideva integreerimise (continous integration) süsteemi integreerimine TeamCity
+
—
—

Pideva integreerimise (continous integration) süsteemi integreerimine GitLab
+
+- (GitLabi pistikprogrammina)
+

Pideva integreerimise (continous integration) süsteemi integreerimine Jenkins
+
+
+

IDE pistikprogrammide olemasolu
+ IntelliJ, Eclipse, Visual Studio
—
—

Kohandatud integratsiooni toeks veebiteenuste (API) kaudu
+
—
+

Dependency Check

Esimene käivitamine

Käivitame Dependency Check tahtlikult haavatavas rakenduses DVJA.

Sellega saame hakkama Dependency Check Maven Plugin:

mvn org.owasp:dependency-check-maven:check

Tulemuseks ilmub kausta target dependency-check-report.html.

Avame faili. Pärast kokkuvõtte teavet haavatavuste koguarvu kohta näeme teavet kõrge Severity ja Confidence tasemega haavatavuste kohta koos paketi, CPE ja CVE arvnäitajaga.

Seejärel järgneb üksikasjalik teave, sealhulgas see, mille alusel otsus tehti (evidence), s.t. mingi BOM.

Järgneb CPE, PURL ja CVE kirjeldus. Parandusettepanekud ei ole tegelikult saadaval, kuna neid ei ole NVD andmebaasis.

Süsteemsete tulemuste vaatamiseks võib seadistada Nginxi minimaalsete seadistustega või saata saadud vead defektide haldamise süsteemi, mis toetavad Dependency Check konnektoreid. Näiteks Defect Dojo.

Dependency Track

Paigaldamine

Dependency Track on omakorda veebiplatvorm, mis kuvab diagramme, seega ei ole terav probleem defektide säilitamisega kolmandas lahenduses siin.
Installeerimiseks on toetatud järgmised stsenaariumid: Docker, WAR, Executable WAR.

Esimene käivitamine

Liigume käivitatud teenuse URL-ile. Logime sisse admin/admin, muudame sisselogimise ja parooli, mille järel pääseme juhtpaneelile. Järgmine samm on luua projekt testrakendusele Java-s Avaleht/Projektid → Loo projekt . Näiteks võtame DVJA.

Kuna Dependency Track saab sisendina ainult BOM-i, tuleb see BOM hankida. Alustame CycloneDX Maven Plugin:

mvn org.cyclonedx:cyclonedx-maven-plugin:makeAggregateBom

Saame bom.xml ja laadime faili loodud projekti DVJA → Dependeencies → Laadi BOM üles.

Siseneme Administration → Analyzers. Näeme, et meil on aktiveeritud ainult Internal Analyzer, mis hõlmab NVD-d. Lisame ka Sonatype OSS Indexi.

Nii saame järgmise ülevaate meie projektist:

Nimekirjas on ka üks haavatavus, mis kehtib Sonatype OSS-i suhtes:

Peamine pettumus oli see, et Dependency Track ei aktsepteeri enam Dependency Check'i xml-aruandeid. Viimased toetatud integratsiooniversioonid Dependency Checkiga olid 1.0.0 – 4.0.2, samas kui mina testisin 5.3.2.

Siin video (ja siin on), kui see veel võimalik oli.

Nexus IQ

Esimene käivitamine

Nexus IQ installimine toimub arhiivide kaudu dokumentatsioon, kuid me oleme selleks otstarbeks kogunud enda Docker'i pildi.

Pärast konsooli sisselogimist tuleb luua Organisatsioon ja Rakendus.

Nagu näha, on IQ seadistamine mõnevõrra keerulisem, sest peame looma ka poliitikaid, mis kehtivad erinevate "etappide" (dev, build, stage, release) jaoks. See on vajalik, et blokeerida haavatavad komponendid, niipea kui need liiguvad lähemale tootepäringule, või blokeerida need kohe, kui nad satuvad Nexus Repo'sse arendajate allalaadimisel.

Et tunda erinevust avatud lähtekoodiga ja ettevõtte tasemel, teeme sama skaneerimise läbi Nexus IQ samamoodi nagu Maven plugin, enne kui loome testrakenduse NexusIQ liideses dvja-test-and-compare:

mvn com.sonatype.clm:clm-maven-plugin:evaluate -Dclm.applicationId=dvja-test-and-compare -Dclm.serverUrl= -Dclm.username= -Dclm.password=

Liigume URL-ile, et avada genereeritud aruanne IQ veebiliideses:

Siit näete kõiki poliitikanõuete rikkumisi erineva tõsiduse tasemega (Info kuni Security Critical). Täht D komponendi kõrval tähistab, et komponent on Direct Dependency, ja täht T komponendi kõrval tähistab, et komponent on Transitive Dependency, ehk on transitiivne.

Muide, aruanne State of Open Source Security Report 2020 Snykilt teatab, et rohkem kui 70% avatud lähtekoodiga haavatavustest, mis on avastatud Node.js, Java ja Ruby-s, asub transitiivsetes sõltuvustes.

Kui avada üks Nexus IQ poliitika rikkumistest, saame näha komponendi kirjeldust ning Version Graph'i, mis näitab praeguse versiooni asukohta ajagraafikul ja millal haavatavus enam haavatav ei ole. Graafiku küünalde kõrgus näitab selle komponendi kasutamise populaarsust.

Kui minna haavatavuste loomesse ja avada CVE, siis saab lugeda selle haavatavuse kirjeldust, soovitusi parandamiseks ning põhjust, miks see komponent rikkumise alla on langenud, s.t. klassi olemasolu. DiskFileitem.class.

Teeme kokkuvõtte ainult Java kolmandate osapoole komponentide kohta, jättes js komponendid välja. Sulgudes näitame neid haavatavusi, mis leiti väljaspool NVD-d.

Kokku Nexus IQ:

• Skaneeritud sõltuvused: 62
• Haavatavad sõltuvused: 16
• Leitud haavatavused: 42 (8 sonatype db)

Kokku Dependency Check:

• Skaneeritud sõltuvused: 47
• Haavatavad sõltuvused: 13
• Leitud haavatavused: 91 (14 sonatype oss)

Kokku Dependency Track:

• Skaneeritud sõltuvused: 59
• Haavatavad sõltuvused: 10
• Leitud haavatavused: 51 (1 sonatype oss)

Edasi liikudes analüüsime saadud tulemusi ja selgitame, millised neist haavatavustest on reaalsed defektid ning millised valehäired.

Märkus

See ülevaade ei ole vaidlustamatult tõene. Autor ei soovinud välja tuua ühte tööriista teiste seas. Ülevaate eesmärk oli näidata SCA tööriistade toimimise mehhanisme ja nende tulemuste kontrollimise meetodeid.

Tulemuste võrdlemine

Tingimused:

Valehäire kolmandate osapoolte komponentide haavatavuste osas on:

• CVE mittevastavus tuvastatud komponendile
• Näiteks, kui haavatavus on tuvastatud struts2 raamistiku osas ning tööriist viitab struts-tiles raamistiku komponendile, millele see haavatavus ei kehti, on see valehäire.
• CVE mittevastavus tuvastatud komponendi versioonile
• Näiteks, kui haavatavus on seotud versiooniga python > 3.5 ja tööriist märgib haavatavaks versiooni 2.7 - see on valehäire, kuna haavatavus kehtib ainult tooteliini 3.x kohta.
• CVE dubleerimine
• Näiteks, kui SCA viitab CVE-le, mis võimaldab RCE-d, seejärel viitab SCA sellele samale komponendile CVE-le, mis kehtib Cisco toodetele, millel on see RCE, siis oleks see valehäire.
• Näiteks leiti CVE komponendist spring-web, mille järel SCA viitas sellele samale CVE teiste Spring Frameworki komponentide osas, samas kui CVE ei puuduta teisi komponente. Sellisel juhul on tegemist vale positiivsega.

Uurimise objektiks on valitud avatud lähtekoodiga projekt DVJA. Uuringus osalesid ainult Java komponendid (ilma js-ita).

Kokkuvõtlikud tulemused

Liigume otse käsitsi ülevaatuse tulemustesse, kus tuvastatud haavatavused on välja toodud. Täieliku aruande iga CVE kohta saab tutvuda lisas.

Kokkuvõtlikud tulemused kõikide haavatavuste kohta:

Parameeter
Nexus IQ
Dependency Check
Dependency Track

Kokku tuvastatud haavatavusi
42
91
51

Vale tuvastatud haavatavusi (false positive)
2(4.76%)
62(68,13%)
29(56.86%)

Asjakohaseid haavatavusi ei leitud (false negative)
10
20
27

Kokkuvõtlikud tulemused komponentide kohta:

Parameeter
Nexus IQ
Dependency Check
Dependency Track

Kokku tuvastatud komponente
62
47
59

Kokku haavatavaid komponente
16
13
10

Vale tuvastatud haavatavad komponendid (false positive)
1
5
0

Vale tuvastatud haavatavad komponendid (false positive)
0
6
6

Loome visuaalsed graafikud, et hinnata vale positiivsete ja vale negatiivsete suhet kokkuhaavatavuste arvu suhtes. Horisontaalselt on märgatud komponendid ja vertikaalselt neis tuvastatud haavatavused.

Võrdluseks, sarnast uuringut viis läbi Sonatype meeskond, testides projekti 1531 komponendiga OWASP Dependency Check abil. Nagu me näeme, on müra ja õige tuvastuse suhe meie tulemustega võrreldav.

Allikas: www.sonatype.com/why-precision-matters-ebook

Vaatame mõningaid CVE-sid meie skannimise tulemustest, et mõista selliste tulemuste põhjuseid.

Lisateave

№1

Alustame mõnedest huvitavatest punktidest Sonatype Nexus IQ-st.

Nexus IQ osutab deserialiseerimise probleemile, mis võimaldab RCE-d Spring Frameworkis mitu korda. CVE-2016-1000027 spring-web:3.0.5 esmakordselt ja CVE-2011-2894 spring-context:3.0.5 ja spring-core:3.0.5. Alguses näib, et haavatavus kordub mitme CVE kaudu. Kui vaadata CVE-2016-1000027 ja CVE-2011-2894 NVD andmebaasis, tundub kõik esmapilgul selge.

Komponent
Haavatavus

spring-web:3.0.5
CVE-2016-1000027

spring-context:3.0.5
CVE-2011-2894

spring-core:3.0.5
CVE-2011-2894

Kirjeldus CVE-2011-2894 NVD-st:


Kirjeldus CVE-2016-1000027 NVD-st:


CVE-2011-2894 on iseenesest üsna tuntud. Aastaaruandes White Source 2011. aastast oli see CVE tunnustatud üheks kõige sagedamini esinevaks. Kirjeldusi CVE-2016-100027 kohta on NVD-s põhimõtteliselt vähe ja see näib olevat rakendatav ainult Spring Frameworki versioonile 4.1.4. Vaatame reference ja siit muutub kõik rohkem või vähem selgeks. Artiklist Tenable mõistame, et peale haavatavuse RemoteInvocationSerializingExporter CVE-2011-2894 puhul on haavatavus samuti HttpInvokerServiceExporter. Nexus IQ ütleb meile seda:

Siiski ei ole midagi sellist NVD-s, mistõttu Dependency Check ja Dependency Track saavad vale negatiivse tulemuse.

Samuti võib CVE-2011-2894 kirjelduse põhjal aru saada, et haavatavus on tõeliselt olemas nii spring-context:3.0.5-s kui ka spring-core:3.0.5-s. Kinnitust sellele võib leida artiklist, mille autor leidis selle haavatavuse.

#2

Komponent
Haavatavus
Tulemus

struts2-core:2.3.30
CVE-2016-4003
FALSE

Kui uurime haavatavust CVE-2016-4003, siis saame aru, et see fikseeriti juba versioonis 2.3.28, kuid Nexus IQ teatab meile sellest. Haavatavuse kirjelduse lõpus on märkus:

See tähendab, et haavatavus eksisteerib ainult koos vananenud JRE versiooniga, millest meid sooviti hoiatada. Siiski peame seda vale positiivseks, kuigi mitte kõige hirmutavamaks.

#3

Komponent
Haavatavus
Tulemus

xwork-core:2.3.30
CVE-2017-9804
TÕSI

xwork-core:2.3.30
CVE-2017-7672
FALSE

Kui vaatame CVE-2017-9804 ja CVE-2017-7672 kirjeldust, siis saame aru, et probleem on URLValidator class, kusjuures CVE-2017-9804 tuleneb CVE-2017-7672-st. Teise haavatavuse olemasolu ei too mingit kasu, välja arvatud, et selle tõsidus tõusis kõrgeks, seetõttu võib seda pidada liigselt müra.

Kokkuvõttes ei leitud Nexus IQ jaoks teisi vale positiivseid tulemusi.

#4

On mitmeid aspekte, mis eristavad IQ teistest lahendustest.

Komponent
Haavatavus
Tulemus

spring-web:3.0.5
CVE-2020-5398
TÕSI

CVE NVD-s teatab, et see kehtib ainult versioonide 5.2.x kuni 5.2.3, 5.1.x kuni 5.1.13 ja versioonide 5.0.x kuni 5.0.16 jaoks, kuid kui vaatame CVE kirjelduse Nexus IQ-s, siis näeme järgmist:
Advisory Deviation Notice: Sonatype’i turuuringute meeskond tuvastas, et see haavatavus anti sisse versioonis 3.0.2.RELEASE ja mitte 5.0.x nagu advisori teates öeldud.

Pärast seda järgneb sellele haavatavusele PoC, mis teatab, et see on olemas versioonis 3.0.5.

Vale negatiivne saadetakse Dependency Checkile ja Dependency Trackile.

#5

Vaatame false positive tulemusi Dependency Checki ja Dependency Tracki jaoks.

Dependency Check tõstetakse esile seetõttu, et see kajastab neid CVE-sid, mis kuuluvad kogu raamistikku NVD-s, nendesse komponentidesse, mida need CVE-d ei hõlma. See kehtib CVE-2012-0394, CVE-2013-2115, CVE-2014-0114, CVE-2015-0899, CVE-2015-2992, CVE-2016-1181, CVE-2016-1182 kohta, mida Dependency Check „sidus” struts-taglib:1.3.8 ja struts-tiles-1.3.8-ga. Need komponendid ei oma midagi ühist sellega, mis on CVE-s kirjeldatud – päringute töötlemine, lehtede valideerimine jne. See on tingitud sellest, et ainus seos nende CVE-de ja komponentide vahel on ainult raamistik, mistõttu Dependency Check pidas seda haavatavuseks.

Sama olukord spring-tx:3.0.5 puhul ja sarnane olukord struts-core:1.3.8 puhul. Struts-core'i sõltuvuse kontrollimine ja sõltuvuste jälgimine tuvastasid palju haavatavusi, mis tegelikult kehtivad struts2-core'i kohta, mis on sisuliselt eraldi raamistik. Antud juhul mõistis Nexus IQ õigesti olukorda ja niisugustes CVE-des, mida ta esitas, märkis ta, et struts-core on jõudnud elutsükli lõppu ja on vaja liikuda struts2-core'i juurde.

№6

Mõnes olukorras on õiglane tõlgendada sõltuvuse kontrollimise ja sõltuvuste jälgimise ilmset viga. Eelkõige CVE-2013-4152, CVE-2013-6429, CVE-2013-6430, CVE-2013-7315, CVE-2014-0054, CVE-2014-0225, CVE-2014-0225, mida sõltuvuste kontrollimine ja jälgimine seostavad spring-core'iga:3.0.5, kuuluvad tegelikult spring-web:3.0.5 juurde. Sellegipoolest tuvastas osa neist CVE-dest ka Nexus IQ, kuid IQ määras need õigesti teisele komponendile. Kuna neid haavatavusi ei leitud spring-core'is, ei saa väita, et neid ei ole raamistikus üldse ja avatud lähtekoodiga tööriistad osutasid õigesti nendele haavatavustele (lihtsalt veidi mööda panid).

Järeldused

Nagu me näeme, ei anna tuvastatud haavatavuste usutavuse määramine käsitsi ülevaate korralikku, sel põhjusel tekivad vaidlusalused hetked. Tulemused on sellised, et Nexus IQ-l on madalaim valepositiivsete määr ja kõrgeim täpsus.

Esiteks on see seotud sellega, et Sonatype'i meeskond laiendas iga NVD-s esitatud haavatavuse CVE kirjeldust, täpsustades, mis klassi või funktsiooni haavatavus kuulub kahe või teise komponendi versiooni osas, viies läbi täiendavaid uuringuid (näiteks tuvastades haavatavusi vanemate tarkvaraversioonide põhjal).

Olulist rolli mängivad ka need haavatavused, mis ei jõudnud NVD-sse, kuid on siiski Sonatype'i andmebaasis SONATYPE märgisega. Vastavalt aruandele Avatud Lähtekoodi Julgeoleku Haavatavuste Oleku Aruanne 2020 45% avatud lähtekoodiga haavatavustest ei registreerita NVD-s. Vastavalt WhiteSource'i andmebaasile avaldatakse vaid 29% kõikidest avatud lähtekoodiga haavatavustest, mis on registreeritud väljaspool NVD-d, seetõttu on nii oluline otsida haavatavusi ka teistest allikatest.

Kokkuvõttes annab sõltuvuste kontroll suurtes kogustes müra, jättes kõrvale osa haavatavatest komponentidest. Sõltuvuste jälgimine genereerib vähem müra ja tuvastab suure arvu komponente, mis visuaalselt ei riiva silma veebiliideses.

Siiski näitab praktika, et just avatud lähtekood peaks olema esimene samm DevSecOpsi küpsuse poole. Esimene asi, mille üle tasub mõelda SCA integreerimisel arendusse, on protsessid, nimelt arutelu juhtkonna ja teiste osakondadega selle üle, millised peaksid olema ideaalsed protsessid teie organisatsioonis. Võib juhtuda, et teie organisatsiooni jaoks katab Dependency Check või Dependency Track alguses kõik äri vajadused, samas kui ettevõtte lahendused on loogiline jätk, kui rakenduste keerukus kasvab.

Lisa A. Tulemused koostisosade osas
Märgistused:

• High — kõrge ja kriitilise taseme haavatavused komponendis
• Medium — keskmise taseme haavatavused komponendis
• TRUE — õigesti tuvastatud haavatavus (True positive issue)
• FALSE — vale häire (False positive issue)

Komponent
Nexus IQ
Dependency Check
Dependency Track
Tulemus

dom4j: 1.6.1
High
High
High
TÕSI

log4j-core: 2.3
High
High
High
TÕSI

log4j: 1.2.14
High
High
—
TÕSI

commons-collections:3.1
High
High
High
TÕSI

commons-fileupload:1.3.2
High
High
High
TÕSI

commons-beanutils:1.7.0
High
High
High
TÕSI

commons-codec:1:10
Medium
—
—
TÕSI

mysql-connector-java:5.1.42
High
High
High
TÕSI

spring-expression:3.0.5
High
komponenti ei leitud

TÕSI

spring-web:3.0.5
High
komponenti ei leitud
High
TÕSI

spring-context:3.0.5
Medium
komponenti ei leitud
—
TÕSI

spring-core:3.0.5
Medium
High
High
TÕSI

struts2-config-browser-plugin:2.3.30
Medium
—
—
TÕSI

spring-tx:3.0.5
—
High
—
FALSE

struts-core:1.3.8
High
High
High
TÕSI

xwork-core: 2.3.30
High
—
—
TÕSI

struts2-core: 2.3.30
High
High
High
TÕSI

struts-taglib:1.3.8
—
High
—
FALSE

struts-tiles-1.3.8
—
High
—
FALSE

Lisa B. Tulemused haavatavuste osas
Märgistused:

• High — kõrge ja kriitilise taseme haavatavused komponendis
• Medium — keskmise taseme haavatavused komponendis
• TRUE — õigesti tuvastatud haavatavus (True positive issue)
• FALSE — vale häire (False positive issue)

Komponent
Nexus IQ
Dependency Check
Dependency Track
Tõsidus
Tulemus
Kommentaar

dom4j: 1.6.1
CVE-2018-1000632
CVE-2018-1000632
CVE-2018-1000632
High
TÕSI

CVE-2020-10683
CVE-2020-10683
CVE-2020-10683
High
TÕSI

log4j-core: 2.3
CVE-2017-5645
CVE-2017-5645
CVE-2017-5645
High
TÕSI

CVE-2020-9488
CVE-2020-9488
CVE-2020-9488
Madal
TÕSI

log4j: 1.2.14
CVE-2019-17571
CVE-2019-17571
—
High
TÕSI

—
CVE-2020-9488
—
Madal
TÕSI

SONATYPE-2010-0053
—
—
High
TÕSI

commons-collections:3.1
—
CVE-2015-6420
CVE-2015-6420
High
FALSE
Duplikaat RCE(OSSINDEX)

—
CVE-2017-15708
CVE-2017-15708
High
FALSE
Duplikaat RCE(OSSINDEX)

SONATYPE-2015-0002
RCE (OSSINDEX)
RCE(OSSINDEX)
High
TÕSI

commons-fileupload:1.3.2
CVE-2016-1000031
CVE-2016-1000031
CVE-2016-1000031
High
TÕSI

SONATYPE-2014-0173
—
—
Medium
TÕSI

commons-beanutils:1.7.0
CVE-2014-0114
CVE-2014-0114
CVE-2014-0114
High
TÕSI

—
CVE-2019-10086
CVE-2019-10086
High
FALSE
Haavatavus kehtib ainult versioonidele 1.9.2+

commons-codec:1:10
SONATYPE-2012-0050
—
—
Medium
TÕSI

mysql-connector-java:5.1.42
CVE-2018-3258
CVE-2018-3258
CVE-2018-3258
High
TÕSI

CVE-2019-2692
CVE-2019-2692
—
Medium
TÕSI

—
CVE-2020-2875
—
Medium
FALSE
Same vulnerability as CVE-2019-2692, but with the note 'attacks may significantly impact additional products'

—
CVE-2017-15945
—
High
FALSE
Ei kehti mysql-connector-java jaoks

—
CVE-2020-2933
—
Madal
FALSE
Duplikaat CVE-2020-2934-le

CVE-2020-2934
CVE-2020-2934
—
Medium
TÕSI

spring-expression:3.0.5
CVE-2018-1270
komponenti ei leitud
—
High
TÕSI

CVE-2018-1257
—
—
Medium
TÕSI

spring-web:3.0.5
CVE-2016-1000027
komponenti ei leitud
—
High
TÕSI

CVE-2014-0225
—
CVE-2014-0225
High
TÕSI

CVE-2011-2730
—
—
High
TÕSI

—
—
CVE-2013-4152
Medium
TÕSI

CVE-2018-1272
—
—
High
TÕSI

CVE-2020-5398
—
—
High
TÕSI
Tõend IQ kasuks: 'Sonatype'i turvauuringute meeskond avastas, et see haavatavus tutvustati versioonis 3.0.2.RELEASE, mitte 5.0.x, nagu nõuandes öeldud.'

CVE-2013-6429
—
—
Medium
TÕSI

CVE-2014-0054
—
CVE-2014-0054
Medium
TÕSI

CVE-2013-6430
—
—
Medium
TÕSI

spring-context:3.0.5
CVE-2011-2894
komponenti ei leitud
—
Medium
TÕSI

spring-core:3.0.5
—
CVE-2011-2730
CVE-2011-2730
High
TÕSI

CVE-2011-2894
CVE-2011-2894
CVE-2011-2894
Medium
TÕSI

—
—
CVE-2013-4152
Medium
FALSE
Sama haavatavus spring-webis

—
CVE-2013-4152
—
Medium
FALSE
Haavatavus kehtib spring-web komponendi suhtes

—
CVE-2013-6429
CVE-2013-6429
Medium
FALSE
Haavatavus kehtib spring-web komponendi suhtes

—
CVE-2013-6430
—
Medium
FALSE
Haavatavus kehtib spring-web komponendi suhtes

—
CVE-2013-7315
CVE-2013-7315
Medium
FALSE
SPLIT CVE-2013-4152-st. + Haavatavus kehtib spring-web komponendi suhtes

—
CVE-2014-0054
CVE-2014-0054
Medium
FALSE
Haavatavus kehtib spring-web komponendi suhtes

—
CVE-2014-0225
—
High
FALSE
Haavatavus kehtib spring-web komponendi suhtes

—
—
CVE-2014-0225
High
FALSE
Sama haavatavus spring-webis

—
CVE-2014-1904
CVE-2014-1904
Medium
FALSE
Haavatavus kehtib spring-web-mvc komponendi suhtes

—
CVE-2014-3625
CVE-2014-3625
Medium
FALSE
Haavatavus kehtib spring-web-mvc komponendi suhtes

—
CVE-2016-9878
CVE-2016-9878
High
FALSE
Haavatavus kehtib spring-web-mvc komponendi suhtes

—
CVE-2018-1270
CVE-2018-1270
High
FALSE
spring-expression / spring-messages jaoks

—
CVE-2018-1271
CVE-2018-1271
Medium
FALSE
Haavatavus kehtib spring-web-mvc komponendi suhtes

—
CVE-2018-1272
CVE-2018-1272
High
TÕSI

CVE-2014-3578
CVE-2014-3578 (OSSINDEX)
CVE-2014-3578
Medium
TÕSI

SONATYPE-2015-0327
—
—
Madal
TÕSI

struts2-config-browser-plugin:2.3.30
SONATYPE-2016-0104
—
—
Medium
TÕSI

spring-tx:3.0.5
—
CVE-2011-2730
—
High
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2011-2894
—
High
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2013-4152
—
Medium
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2013-6429
—
Medium
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2013-6430
—
Medium
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2013-7315
—
Medium
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2014-0054
—
Medium
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2014-0225
—
High
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2014-1904
—
Medium
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2014-3625
—
Medium
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2016-9878
—
High
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2018-1270
—
High
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2018-1271
—
Medium
FALSE
Haavatavus ei kehti spring-tx jaoks

—
CVE-2018-1272
—
Medium
FALSE
Haavatavus ei kehti spring-tx jaoks

struts-core:1.3.8
—
CVE-2011-5057 (OSSINDEX)

Medium
FASLE
Haavatavus Struts 2 suhtes

—
CVE-2012-0391 (OSSINDEX)
CVE-2012-0391
High
FALSE
Haavatavus Struts 2 suhtes

—
CVE-2014-0094 (OSSINDEX)
CVE-2014-0094
Medium
FALSE
Haavatavus Struts 2 suhtes

—
CVE-2014-0113 (OSSINDEX)
CVE-2014-0113
High
FALSE
Haavatavus Struts 2 suhtes

CVE-2016-1182
3VE-2016-1182
—
High
TÕSI

—
—
CVE-2011-5057
Medium
FALSE
Haavatavus Struts 2 suhtes

—
CVE-2012-0392 (OSSINDEX)
CVE-2012-0392
High
FALSE
Haavatavus Struts 2 suhtes

—
CVE-2012-0393 (OSSINDEX)
CVE-2012-0393
Medium
FALSE
Haavatavus Struts 2 suhtes

CVE-2015-0899
CVE-2015-0899
—
High
TÕSI

—
CVE-2012-0394
CVE-2012-0394
Medium
FALSE
Haavatavus Struts 2 suhtes

—
CVE-2012-0838 (OSSINDEX)
CVE-2012-0838
High
FALSE
Haavatavus Struts 2 suhtes

—
CVE-2013-1965 (OSSINDEX)
CVE-2013-1965
High
FALSE
Haavatavus Struts 2 suhtes

—
CVE-2013-1966 (OSSINDEX)
CVE-2013-1966
High
FASLE
Haavatavus Struts 2 suhtes

—
CVE-2013-2115
CVE-2013-2115
High
FASLE
Haavatavus Struts 2 suhtes

—
CVE-2013-2134 (OSSINDEX)
CVE-2013-2134
High
FASLE
Haavatavus Struts 2 suhtes

—
CVE-2013-2135 (OSSINDEX)
CVE-2013-2135
High
FASLE
Haavatavus Struts 2 suhtes

CVE-2014-0114
CVE-2014-0114
—
High
TÕSI

—
CVE-2015-2992
CVE-2015-2992
Medium
FALSE
Haavatavus Struts 2 suhtes

—
CVE-2016-0785 (OSSINDEX)
CVE-2016-0785
High
FALSE
Haavatavus Struts 2 suhtes

CVE-2016-1181
CVE-2016-1181
—
High
TÕSI

—
CVE-2016-4003 (OSSINDEX)
CVE-2016-4003
High
FALSE
Haavatavus Struts 2 suhtes

xwork-core:2.3.30
CVE-2017-9804
—
—
High
TÕSI

SONATYPE-2017-0173
—
—
High
TÕSI

CVE-2017-7672
—
—
High
FALSE
Duubel k CVE-2017-9804

SONATYPE-2016-0127
—
—
High
TÕSI

struts2-core:2.3.30
—
CVE-2016-6795
CVE-2016-6795
High
TÕSI

—
CVE-2017-9787
CVE-2017-9787
High
TÕSI

—
CVE-2017-9791
CVE-2017-9791
High
TÕSI

—
CVE-2017-9793
—
High
FALSE
Duubel k CVE-2018-1327

—
CVE-2017-9804
—
High
TÕSI

—
CVE-2017-9805
CVE-2017-9805
High
TÕSI

CVE-2016-4003
—
—
Medium
FALSE
Kehtib Apache Struts 2.x kuni 2.3.28, kuid see on versioon 2.3.30. Siiski, nagu käskluses märgitud, kehtib CVE kõikide Struts 2 versioonide puhul, kui kasutatakse JRE 1.7 ja vanemat. Tundub, et siin on otsustatud ettevaatlikult tegutseda, kuid rohkem sarnaneb see valehäirega.

—
CVE-2018-1327
CVE-2018-1327
High
TÕSI

CVE-2017-5638
CVE-2017-5638
CVE-2017-5638
High
TÕSI
Just see haavatavus, mille kasuks kurjategijad tegid kasutuse Equifaxis 2017. aastal

CVE-2017-12611
CVE-2017-12611
—
High
TÕSI

CVE-2018-11776
CVE-2018-11776
CVE-2018-11776
High
TÕSI

struts-taglib:1.3.8
—
CVE-2012-0394
—
Medium
FALSE
Struts2-core jaoks

—
CVE-2013-2115
—
High
FALSE
Struts2-core jaoks

—
CVE-2014-0114
—
High
FALSE
Commons-beanutils jaoks

—
CVE-2015-0899
—
High
FALSE
Ei kehti taglib'i kohta

—
CVE-2015-2992
—
Medium
FALSE
Kehtib struts2-core'i kohta

—
CVE-2016-1181
—
High
FALSE
Ei kehti taglib'i kohta

—
CVE-2016-1182
—
High
FALSE
Ei kehti taglib'i kohta

struts-tiles-1.3.8
—
CVE-2012-0394
—
Medium
FALSE
Struts2-core jaoks

—
CVE-2013-2115
—
High
FALSE
Struts2-core jaoks

—
CVE-2014-0114
—
High
FALSE
Commons-beanutils'i all

—
CVE-2015-0899
—
High
FALSE
Ei kehti tiles'i kohta

—
CVE-2015-2992
—
Medium
FALSE
Struts2-core jaoks

—
CVE-2016-1181
—
High
FALSE
Ei kehti taglib'i kohta

—
CVE-2016-1182
—
High
FALSE
Ei kehti taglib'i kohta

Allikas: habr.com