DevSecOps: tööpõhimõtted ja SCA võrdlus. Esimene osa

Kolmanda osapoole tarkvara komponentide analüüsi (inglise keeles Software Composition Analysis — SCA) tähtsus arendamisel kasvab koos avatud lähtekoodiga raamatukogude haavatavuste kohta avaldatud iga-aastaste aruannetega, mida avaldavad ettevõtted nagu Synopsys, Sonatype, Snyk, White Source. Aruande kohaselt Avaallika turvalisuse haavatavuste seisund 2020 avastatud haavatuste arv avatud lähtekoodiga tarkvaras 2019. aastal kasvas peaaegu 1,5 korda võrreldes eelmise aastaga, samas kui avatud lähtekoodiga komponente kasutatakse 60% kuni 80% projektidest. Kui viidata sõltumatule arvamusele, on SCA protsessid OWASP SAMM ja BSIMM eraldi praktikad, mis on küpsuse näitajaks, ning 2020. aasta esimeses pooles avaldas OWASP uue standardi OWASP Software Component Verification Standard (SCVS), mis annab parimad praktikad kolmandate osapoolte komponentide kontrollimiseks tarkvara tarnimise ahelas.

Üks kõige näitlikumaid juhtumeid sündis koostöös ettevõttega Equifax mai 2017. aastal. Tundmatud küberkurjategijad pääsesid ligi 143 miljoni ameeriklase teabele, sealhulgas täielikele nimedele, aadressidele, sotsiaalkindlustuse numbritele ja juhtimissertifikaatidele. 209 000 juhul sisaldasid dokumentides ka teavet kannatanu pangakaartide kohta. See lekkimine toimus kriitilise haavatavuse tõttu Apache Struts 2-s (CVE-2017-5638), samal ajal kui parandusväljaanne ilmus juba märtsis 2017. Ettevõttel oli kaks kuud uuenduste rakendamiseks, kuid keegi ei muretsenud selle üle.

Käesolevas artiklis arutatakse SCA tööriista valimise küsimust analüüsi tulemuste kvaliteedi vaatepunktist. Samuti tuuakse välja tööriistade funktsionaalne võrdlus. CI/CD-sse inteerimise protsessi ja integreerimise võimalused jätame järgmistele väljaannele. Lai nimekiri tööriistadest on esitatud OWASP oma veebisaidil, kuid käesoleva ülevaate raames käsitleme ainult kõige populaarsemat avatud lähtekoodiga tööriista Dependency Check, veidi vähem tuntud avatud lähtekoodiga platvormi Dependency Track ja ettevõtte lahendust Sonatype Nexus IQ. Samuti uurime, kuidas need lahendused töötavad ja võrdleme saadud tulemusi valehäirete osas.

Tööprintsiip

Dependency Check — see on utiliit (CLI, maven, jenkins moodul, ant), mis analüüsib projekti faile, kogub teavet sõltuvuste kohta (paketi nimi, grupi ID, spetsifikatsiooni pealkiri, versioon...), koostab CPE (Common Platform Enumeration) stringi, paketi URL (PURL) ja tuvastab CPE/PURL jaoks haavatavused andmebaasidest (NVD, Sonatype OSS Index, NPM Audit API...), pärast mida koostab ajakohase aruande HTML, JSON, XML jne formaadis.

Vaatame, kuidas CPE välja näeb:

cpe:2.3:part:vendor:product:version:update:edition:language:sw_edition:target_sw:target_hw:other

• Osa: Märge, et komponent kuulub rakendusele (a), operatsioonisüsteemile (o), riistvarale (h) (Kohustuslik punkt)
• Tootja: Tootja nimi (Kohustuslik punkt)
• Toode: Toote nimi (Kohustuslik punkt)
• Versioon: Komponendi versioon (Aegunud punkt)
• Uuendus: Paketi värskendus
• Väljaanne: Pärandversioon (Aegunud punkt)
• Keel: Keel, määratud RFC-5646-s
• SW Väljaanne: Tarkvara versioon
• Siht-PR: Tarkvara keskkond, kus toode töötab
• Siht-HW: Riistvarakeskkond, kus toode töötab
• Muud: Müüja või toote teave

CPE näeb välja järgmine:

cpe:2.3:a:pivotal_software:spring_framework:3.0.0:*:*:*:*:*:*:*

Rida näitab, et CPE versioon 2.3 kirjeldab rakenduse komponenti tootjalt pivotal_software nimega spring_framework versiooniga 3.0.0. Kui avame haavatavuse CVE-2014-0225 NVD-s, siis saame näha, et see CPE mainitakse. Esimene probleem, millele kohe tähelepanu pöörata — CVE NVD-s teatab selle CPE kohaselt, et probleem on raamistikus, mitte konkreetses komponendis. See tähendab, et kui arendajad on tugevalt seotud raamistikuga ja tuvastatud haavatavus ei puuduta neid mooduleid, mida arendajad kasutavad, peab turbe spetsialist igal juhul uurima seda CVE-d ja mõtlema uuendusele.

URL-i kasutatakse samuti SCA tööriistade poolt. Paketi URL-i formaat on järgmine:

scheme:type/namespace/name@version?qualifiers#subpath

• Skeem: Alati on 'pkg', mis näitab, et see on paketi URL (kohustuslik punkt)
• Tüüp: Paketi 'tüüp' või 'protokoll', näiteks maven, npm, nuget, gem, pypi jne. (kohustuslik punkt)
• Nimiiruumi: Mõni nimeprefiks, näiteks Maven'i grupi identifikaator, Docker'i pildi omaniku, kasutaja või GitHub'i organisatsiooni. Valikuline ja sõltub tüübist.
• Nimi: Paketi nimi (kohustuslik element)
• Versioon: Paketi versioon
• Kvalifikaatorid: Lisakvalifitseerivad andmed paketi kohta, nagu OS, arhitektuur, jaotamine jms. Valikuline ja sõltub tüübist.
• Alatee: Lisatee paketis paketi juurest.

Näiteks:

pkg:golang/google.golang.org/genproto#googleapis/api/annotations
pkg:maven/org.apache.commons/io@1.3.4
pkg:pypi/django-package@1.11.1.dev1

Sõltuvuste jälgimine — kohapealne veebiplatvorm, mis aktsepteerib valmis materjalide loendeid (BOM), mis on loodud CycloneDX ja SPDX, st valmis spetsifikatsioonid olemasolevate sõltuvuste kohta. See on XML-fail, mis kirjeldab sõltuvusi — nimi, hashid, paketi URL, väljaandja, litsents. Seejärel analüüsib Sõltuvuste jälgimine BOM'i, kontrollib olemasolevaid CVE-sid sõltuvuste osas haavatavuste andmebaasist (NVD, Sonatype OSS Index …), pärast mida koostab graafikud, arvutab meetrike, ja värskendab regulaarselt andmeid komponentide haavatavuste staatuse kohta.

Näide sellest, kuidas BOM XML-formaadis välja näha võib:

Apache
      org.apache.tomcat
      tomcat-catalina
      9.0.14
      
        3942447fac867ae5cdb3229b658f4d48
        e6b1000b94e835ffd37f4c6dcbdad43f4b48a02a
        f498a8ff2dd007e29c2074f5e4b01a9a01775c3ff3aeaf6906ea503bc5791b7b
        e8f33e424f3f4ed6db76a482fde1a5298970e442c531729119e37991884bdffab4f9426b7ee11fccd074eeda0634d71697d6f88a460dce0ac8d627a29f7d1282
      
      
        
          Apache-2.0
        
      
      pkg:maven/org.apache.tomcat/tomcat-catalina@9.0.14
    
      

BOM-i saab kasutada mitte ainult sõltuvuse jälgimiseks, vaid ka tarkvara koostisosade inventeerimiseks tarnijate ahelas, näiteks tarkvara kliendile esitlemiseks. 2014. aastal esitati USA-s isegi seaduseelnõu, „Cyber Supply Chain Management and Transparency Act of 2014“, mis ütles, et igasuguste tarkvarade ostmisel peavad kõik riigiasutused nõudma BOM-i, et vältida haavatavate komponentide kasutamist, kuid seadus ei jõustunud.

Tagasi tulles SCA juurde, on Dependency Track'il valmisolek integreeruda teavitussüsteemidega nagu Slack, haavatavuste haldamise süsteemidega nagu Kenna Security. Oluline on ka märkida, et Dependency Track tuvastab vananenud paketiversioonid ja pakub teavet litsentside kohta (grupi SPDX toel).

Kui rääkida SCA kvaliteedist, siis on siin põhimõtteline erinevus.

Dependency Track ei võta projekti sisendina, vaid võtab just BOM-i. See tähendab, et kui tahame projekti kontrollida, peame kõigepealt genereerima bom.xml, näiteks CycloneDX abil. Seetõttu sõltub Dependency Track otseselt CycloneDX-st. Samas võimaldab see ka kohandamist. Nii kirjutas OZONi meeskond CycloneDX mooduli BOM-failide koostamiseks Golangi projektide jaoks, et neid hiljem Dependency Track'i kaudu skaneerida.

Nexus IQ — Sonatype'i SCA ärilahenduse osa, mis kuulub Sonatype'i ökosüsteemi, kuhu kuulub ka Nexus Repository Manager. Nexus IQ saab sisendina vastu võtta nii war-arhiive (Java projektide jaoks) veebiliidese või API kaudu, kui ka BOM-i, juhul kui teie organisatsioon ei ole veel CycloneDX-lt uuele lahendusele üle läinud. Erinevalt avatud lähtekoodiga lahendustest, võtab IQ arvesse mitte ainult CP/PURL tuvastatud komponente ja vastavaid haavatavusi andmebaasis, vaid ka oma uuringuid, näiteks haavatava funktsiooni või klassi nimetust. IQ mehhanismid käsitletakse hiljem, kui analüüsime tulemusi.

Teeme kokkuvõtte funktsionaalsetest omadustest ja vaatame üle toetatud keeled analüüsiks:

Keel
Nexus IQ
Dependency Check
Sõltuvuste jälgimine

Java
+
+
+

C/C++
+
+
—

C#
+
+
—

.Net
+
+
+

Erlang
—
—
+

JavaScript (NodeJS)
+
+
+

PHP
+
+
+

Python
+
+
+

Ruby
+
+
+

Perl
—
—
—

Scala
+
+
+

Objective C
+
+
—

Swift
+
+
—

R
+
—
—

Go
+
+
+

Funktsioonid

Funktsioonid
Nexus IQ
Dependency Check
Sõltuvuste jälgimine

Võimekus tagada komponentide kontroll, mida kasutatakse lähtekoodis litsentsi selguse osas
+
—
+

Võimekus skaneerida ja analüüsida haavatavuste ja litsentsi selguse osas Docker'i piltidele
+ Integreerimine Clairiga
—
—

Võimekus seadistada turvapoliitikat avatud lähtekoodiga raamatukogude kasutamiseks
+
—
—

Avatud lähtekoodiga hoidlate skaneerimise võimalus haavatavate komponentide leidmiseks
+ RubyGems, Maven, NPM, Nuget, Pypi, Conan, Bower, Conda, Go, p2, R, Yum, Helm, Docker, CocoaPods, Git LFS
—
+ Hex, RubyGems, Maven, NPM, Nuget, Pypi

Spetsialiseeritud teadusgrupi olemasolu
+
—
—

Töö suletud ringis
+
+
+

Kolmandate osapoolte andmebaaside kasutamine
+ Suletud andmebaas Sonatype
+ Sonatype OSS, NPM Public Advisors
+ Sonatype OSS, NPM Public Advisors, RetireJS, VulnDB, oma haavatavuste andmebaasi toetus

Avatud lähtekoodiga komponentide filtreerimise võimalus arendusringis üleslaadimise katses vastavalt konfigureeritud poliitikatele
+
—
—

Soovitused haavatavuste parandamiseks, lingid parandusele
+
+- (sõltub avalikes andmebaasides olevatest kirjeldustest)
+- (sõltub avalikes andmebaasides olevatest kirjeldustest)

Leitud haavatavuste ridade järjestamine kriitilisuse järgi
+
+
+

Juurdepääsu nõuetekohane mudel
+
—
+

CLI (käskude rea liidese) tugi
+
+
+- (ainult CycloneDX jaoks)

Haavatavuste valimine / järjestamine määratletud kriteeriumide alusel
+
—
+

Rakenduste oleku armatuurlaud
+
—
+

Aruannete genereerimine PDF-formaadis
+
—
—

Aruannete genereerimine JSONCSV formaadis
+
+
—

Venekeelse toe olemasolu
—
—
—

Integreerimisvõimalused

Integreerimine
Nexus IQ
Dependency Check
Sõltuvuste jälgimine

Integreerimine LDAP/Active Directoryga
+
—
+

Integreerimine pideva integreerimise süsteemiga (continous integration) Bamboo
+
—
—

Integreerimine pideva integratsiooni süsteemiga (continuous integration) TeamCity
+
—
—

Integreerimine pideva integratsiooni süsteemiga (continuous integration) GitLab
+
+- (GitLabi pistikprogrammina)
+

Integreerimine pideva integratsiooni süsteemiga (continuous integration) Jenkins
+
+
+

IDE pistikprogrammide olemasolu
+ IntelliJ, Eclipse, Visual Studio
—
—

Kohandatud integreerimise tugi web-services (API) kaudu
+
—
+

Dependency Check

Esimene käivitamine

Käivitame Dependency Check sihitud haavatava rakenduse jaoks DVJA.

Selleks kasutame Dependency Check Maven Plugin:

mvn org.owasp:dependency-check-maven:check

Tulemuseks luuakse kaustas target dependency-check-report.html.

Avame faili. Pärast kokkuvõteteavet haavatavuste koguarvu kohta, saame näha teavet kõrge taseme Severity ja Confidence haavatavuste kohta koos viitega paketile, CPE-le ning CVE arvule.

Järgneb detailsem teave, sealhulgas see, mille põhjal otsus tehti (evidence), see tähendab teatud BOM-i.

Edasi minnes on CPE, PURL ja CVE kirjeldus. Soovitusi parandamiseks ei ole, kuna need puuduvad NVD andmebaasist.

Süsteemse skannimise tulemuste vaatamiseks saab seadistada Nginx minimaalse seadistusega või edastada saadud defektid veakatse haldamise süsteemi, mis toetavad ühendusi Dependency Check'iga. Näiteks Defect Dojo.

Sõltuvuste jälgimine

Installeerimine

Dependency Track on samas veebipõhine platvorm, mis kuvab graafikuid, seega ei tõuse siin terav küsimus defektide hoidmisest kolmandas lahenduses.
Installeerimiseks on toetatud järgmised stsenaariumid: Docker, WAR, Executable WAR.

Esimene käivitamine

Liigume jooksva teenuse URL-ile. Logime sisse admin/admin kaudu, muutame sisselogimise ja parooli, mille järel jõuame juhtpaneelile. Järgmine, mida teeme, on luua projekt Java testrakenduse jaoks Avaleht/Projektid → Loo projekt . Näiteks võtame DVJA.

Kuna Dependency Track saab sisendina vastu võtta ainult BOM-i, tuleb see BOM hankida. Kasutame CycloneDX Maven Plugin:

mvn org.cyclonedx:cyclonedx-maven-plugin:makeAggregateBom

Saame bom.xml ja laadime faili loodud projekti DVJA → Sõltuvused → Laadi BOM.

Siseneme haldusesse → Analüsaatorid. Saame aru, et meil on aktiveeritud ainult sisemine analüsaator, mis hõlmab NVD-d. Ühendame ka Sonatype OSS Indeksi.

Nii saavutame meie projekti jaoks järgmise pildi:

Samuti leiab nimekirjast ühe haavatavuse, mis kehtib Sonatype OSS-i suhtes:

Peamine pettumus oli see, et Dependency Track ei toeta enam Dependency Check'i xml-aruandeid. Viimased toetatud versioonid Dependency Check'iga integreerimiseks olid 1.0.0 – 4.0.2, samas kui mina testisin 5.3.2.

Siin on video (ja siin on), kui see oli veel võimalik.

Nexus IQ

Esimene käivitamine

Nexus IQ installimine toimub arhiivide kaudu dokumentatsioonis, kuid meie jaoks kogusime endale Docker'i pildi.

Pärast konsooli sisenemist on vajalik luua Organisatsioon ja Rakendus.

Nagu näha, on IQ seadistamine pisut keerulisem, kuna peame ka looma poliitikad, mis kehtivad erinevatele "staadiumidele" (dev, build, stage, release). See on vajalik, et takistada haavatavate komponentide edasiviimist torustikus lähemale tootmisele või takistada nende allalaadimist Nexus Repo'sse arendajate poolt.

Et tunnetada open source'i ja enterprise'i erinevust, teeme sama skaneerimise Nexus IQ kaudu sarnaselt Maven plugin, eelnevalt luues testrakenduse NexusIQ liideses dvja-test-and-compare:

mvn com.sonatype.clm:clm-maven-plugin:evaluate -Dclm.applicationId=dvja-test-and-compare -Dclm.serverUrl= -Dclm.username= -Dclm.password=

Liikumine URL-ile genereeritud aruandele IQ veebiliideses:

Siit saate näha kõiki poliitikareeglite rikkumisi, millel on erinev tähtsus (alates Info kuni Security Critical). Täht D komponendi kõrval näitab, et komponent on otse sõltuvus, ja täht T komponendi kõrval näitab, et komponent on transitiivne sõltuvus.

Muide, aruanne Open Source Security Report 2020 Snyki poolt teatas, et rohkem kui 70% Node.js, Java ja Ruby avatud lähtekoodiga haavatavustest asub transitiivses sõltuvuses.

Kui avame ühe Nexus IQ poliitikareegli rikkumise, saame näha komponentide kirjeldust ning Version Graphi, mis näitab praeguse versiooni asukohta ajagraafikul ja millal haavatavus enam ei ole haavatav. Graafiku küünalde kõrgus näitab selle komponendi kasutamise populaarsust.

Kui liikuda haavatavuste ja CVE jaotisse, saab lugeda selle haavatavuse kirjeldust, soovitusi kõrvaldamiseks ning põhjust, miks antud komponent rikkumisse langes, st klassi olemasolu. DiskFileitem.class.

Teeme kokkuvõtte, mis puudutab ainult kolmandate osapoolte Java komponente, jättes välja js komponendid. Sulgudes märkime ära haavatavuste arvu, mida leiti väljaspool NVD-d.

Kokku Nexus IQ:

• Skaneeritud sõltuvused: 62
• Haavatavad sõltuvused: 16
• Leitud haavatavused: 42 (8 sonatype db)

Kokku Dependency Check:

• Skaneeritud sõltuvused: 47
• Haavatavad sõltuvused: 13
• Leitud haavatavused: 91 (14 sonatype oss)

Kokku Dependency Track:

• Skaneeritud sõltuvused: 59
• Haavatavad sõltuvused: 10
• Leitud haavatavused: 51 (1 sonatype oss)

Järgmise sammuna analüüsime saadud tulemusi ja selgitame välja, millised neist haavatavustest on tegelikud defektid ja millised valehäired.

Vastutusest loobumine

See ülevaade ei ole vaieldamatu tõde. Autoril ei olnud eesmärki tuvastada ühte tööriista teiste seas. Ülevaate tähendus oli näidata SCA tööriistade töömehhanisme ja tulemuste kontrollimise viise.

Tulemuste võrdlemine

Tingimused:

Valehäire kolmandate osapoolte komponente käsitlevate haavatavuste osas on:

• CVE vastavus tuvastatud komponendiga
• Näiteks, kui haavatavus tuvastatakse struts2 raamistikus, aga tööriist näitab struts-tiles raamistikku, millele see haavatavus ei kehti, siis on see vale positiivne.
• CVE vastavus tuvastatud komponendi versiooniga
• Näiteks, kui haavatavus on seotud versiooniga python > 3.5 ja tööriist märkab haavatavaks versiooni 2.7 — siis on see vale positiivne, kuna haavatavus kehtib ainult toote 3.x haru kohta.
• CVE dubleerimine
• Näiteks, kui SCA osutab CVE-le, mis võimaldab RCE-d, ja seejärel näitab SCA sama komponendi CVE-d, mis kehtib Cisco toodete kohta, mis on sellele RCE-le vastuvõtlikud. Sellisel juhul on see vale positiivne.
• Näiteks, CVE leiti komponendis spring-web, seejärel näitab SCA sama CVE-d teistele Spring Frameworki komponentidele, samas kui CVE ei kehti teiste komponentide kohta. Sellisel juhul on see vale positiivne.

Uurimise objektiks on valitud Open Source projekt DVJA. Uuringus osalesid ainult java komponendid (ilma js-ita).

Kokkuvõtlikud tulemused

Liigume kohe tulemuste juurde, mis on saadud käsitsi läbi vaadatud haavatavustest. Iga CVE täieliku aruandega saab tutvuda lisas.

Kokkuvõtvad tulemused kõigi haavatavuste kohta:

Parameeter
Nexus IQ
Dependency Check
Sõltuvuste jälgimine

Kokku tuvastatud haavatavusi
42
91
51

Vale tuvastatud haavatavused (false positive)
2(4.76%)
62(68,13%)
29(56.86%)

Asjakohaseid haavatavusi ei leitud (false negative)
10
20
27

Kokkuvõtvad tulemused komponentide kaupa:

Parameeter
Nexus IQ
Dependency Check
Sõltuvuste jälgimine

Kokku tuvastatud komponente
62
47
59

Kokku haavatavaid komponente
16
13
10

Vale tuvastatud haavatavad komponendid (false positive)
1
5
0

Vale tuvastatud haavatavad komponendid (false positive)
0
6
6

Konstrueerime visuaalsed graafikud, et hinnata vale positiivsete ja vale negatiivsete suhet kogu haavatavuste arvuga. Horisontaalis on märgitud komponendid ja vertikaalis nende tuvastatud haavatavused.

Võrdluseks viidi sarnane uuring läbi Sonatype'i meeskonna poolt, testides 1531 komponenti OWASP Dependency Check'i abil. Nagu näeme, on müra ja õige tuvastamise suhe meie tulemustega võrreldav.

Allikas: www.sonatype.com/why-precision-matters-ebook

Vaadakem mõned CVE-d meie skaneerimise tulemustest, et mõista nende tulemuste põhjuseid.

Loe lähemalt

№1

Alustame mõnede huvitavate aspektidega Sonatype Nexus IQ-st.

Nexus IQ näitab probleemiga seerialiseerimiseks, mis võimaldab RCE teostada Spring Frameworkis mitmel korral. CVE-2016-1000027 spring-web:3.0.5 esmakordselt ja CVE-2011-2894 spring-context:3.0.5 ja spring-core:3.0.5. Esialgu tundub, et haavatavus dubleeritakse mitme CVE raames. Kui vaadata CVE-2016-1000027 ja CVE-2011-2894 NVD andmebaasist, siis näib, et kõik on ilmselge.

Komponent
Haavatavus

spring-web:3.0.5
CVE-2016-1000027

spring-context:3.0.5
CVE-2011-2894

spring-core:3.0.5
CVE-2011-2894

Kirjeldus CVE-2011-2894 NVD-st:


Kirjeldus CVE-2016-1000027 NVD-st:


CVE-2011-2894 on iseenesest üsna tuntud. Aastaaruandes White Source 2011. aastal tunnistati see CVE üheks kõige sagedamini esinevaks. Kirjeldusi CVE-2016-100027 kohta on NVD-s põhimõtteliselt vähe ja see tundub olevat rakendatav vaid Spring Framework 4.1.4-le. Vaatame viidatud ja siin muutub kõik enam-vähem selgeks. Ajakirjast Tenable aru saame, et peale haavatavuse RemoteInvocationSerializingExporter CVE-2011-2894-s esineb haavatavus HttpInvokerServiceExporter. Nexus IQ ütleb meile just seda:

Sellegipoolest ei ole NVD-s sellist midagi, mistõttu Dependency Check ja Dependency Track saavad vale negatiivse.

Samuti on CVE-2011-2894 kirjeldusest mõistetav, et haavatavus on tõepoolest olemas nii spring-context:3.0.5-s kui ka spring-core:3.0.5-s. Sellele leidub kinnitust artiklis autori poolt, kes avastas selle haavatavuse.

nr 2

Komponent
Haavatavus
Tulemus

struts2-core:2.3.30
CVE-2016-4003
FALSE

Kui me uurime haavatavust CVE-2016-4003, saame aru, et see parandati juba versioonis 2.3.28, siiski teavitab meid Nexus IQ sellest. Haavatavuse kirjelduse juures on märkus:

See tähendab, et haavatavus eksisteerib ainult koos vananenud JRE versiooniga, millest sooviti meid ette hoiatada. Siiski peame seda valehäireks, kuigi mitte kõige tõsisemaks.

№ 3

Komponent
Haavatavus
Tulemus

xwork-core:2.3.30
CVE-2017-9804
TRUE

xwork-core:2.3.30
CVE-2017-7672
FALSE

Kui me vaatame CVE-2017-9804 ja CVE-2017-7672 kirjelduseid, siis saame aru, et probleem on URLValidator klassis, kusjuures CVE-2017-9804 tuleneb CVE-2017-7672-st. Teise haavatavuse olemasolu ei too kaasa mingit kasulikku teavet, välja arvatud see, et selle tõsidus tõusis kõrgeks, seega võib seda pidada liigseks müra.

Üldiselt ei ole Nexus IQ-le leitud muid valehäireid.

№4

On mitu asja, mis eristavad IQ-d teistest lahendustest.

Komponent
Haavatavus
Tulemus

spring-web:3.0.5
CVE-2020-5398
TRUE

CVE NVD-s teatab, et see kehtib ainult versioonide 5.2.x kuni 5.2.3, 5.1.x kuni 5.1.13 ja 5.0.x kuni 5.0.16, kuid kui vaatame CVE kirjeldust Nexus IQ-s, siis näeme järgmist:
Advisory Deviation Notice: Sonatype'i turvauuringute meeskond avastas, et see haavatavus tekkis versioonis 3.0.2.RELEASE, mitte 5.0.x nagu nõuandes öeldud.

Seejärel tuleb PoC selle haavatavuse kohta, mis teatab, et see esineb versioonis 3.0.5.

Vale negatiivne saade Dependency Checki ja Dependency Tracki.

№5

Vaatame false positive'i juhtumit Dependency Checkis ja Dependency Trackis.

Dependency Check eristub sellega, et toob esile need CVE-d, mis kuuluvad kogu raamistikku NVD-s, ning need komponendid, millele need CVE-d ei kohaldu. See puudutab CVE-2012-0394, CVE-2013-2115, CVE-2014-0114, CVE-2015-0899, CVE-2015-2992, CVE-2016-1181, CVE-2016-1182, mille Dependency Check “kinnitas” struts-taglib:1.3.8 ja struts-tiles-1.3.8. Need komponendid ei ole seotud sellega, mis on kirjeldatud CVE-s — päringute töötlemine, lehtede valideerimine jne. See tuleneb sellest, et ainus seos nende CVE-de ja komponentide vahel on raamistik, mis on põhjus, miks Dependency Check seda haavatavuseks pidas.

Sama olukord on spring-tx:3.0.5 puhul ning sarnane olukord on struts-core:1.3.8 puhul. Struts-core'i puhul leidis Dependency Check ja Dependency Track väga palju haavatavusi, mis tegelikult kehtivad struts2-core'i kohta, mis on põhimõtteliselt eraldi raamistik. Selle juhtumi puhul mõistis Nexus IQ olukorda õigesti ning CVE-de puhul, mille ta esitas, märkis, et struts-core on jõudnud lõppfaasi ja tuleb üle minna struts2-core'ile.

№6

Mõnel juhul on sõltuvuse kontrolli ja jälgimise ilmse vea tõlgendamine ebaõiglane. Erakordselt, CVE-2013-4152, CVE-2013-6429, CVE-2013-6430, CVE-2013-7315, CVE-2014-0054, CVE-2014-0225, CVE-2014-0225, mille sõltuvuse kontroll ja jälgimine määrasid spring-core:3.0.5-le, kuuluvad tegelikult spring-web:3.0.5-le. Samuti leiti osa neist CVE-dest Nexus IQ-s, siiski määras IQ need õigesti teisele komponendile. Kuna need haavatavused ei olnud leidnud spring-core-is, ei saa väita, et neid pole raamistikus üldiselt ja avatud lähtekoodi tööriistad õigesti märkasid neid haavatavusi (lihtsalt tabas veidi kõrvale).

Järeldused

Nagu me näeme, ei anna tuvastatud haavatavuste usaldusväärsuse määramine käsitsi ülevaate tegemisel üheselt mõistetavaid tulemusi, mistõttu tekivad vaidlused. Tulemused on sellised, et Nexus IQ lahendusel on madalaim valehäirete määr ja kõrgeim täpsus.

Esiteks on see seotud sellega, et Sonatype'i meeskond on laiendanud iga CVE haavatavuse kirjeldust NVD-s, täpsustades haavatavuse klassi või funktsiooni konkreetse komponendi versiooni jaoks ning teinud täiendavaid uuringuid (nt kontrollinud haavatavusi vanemate tarkvaraversioonide puhul).

Samuti mõjutavad tulemusi olulisel määral haavatavused, mis ei ole NVD-sse jõudnud, kuid siiski esinevad Sonatype'i andmebaasis SONATYPE märgistusega. Üksikasjaliku aruande kohaselt Avaallika turvalisuse haavatavuste seisund 2020 45% avatud lähtekoodiga haavatavustest ei kajastata NVD-s. Vastavalt WhiteSource'i andmebaasile avaldatakse vaid 29% kõikidest avatud lähtekoodiga haavatavustest, mis on registreeritud väljaspool NVD-d, seega on väga oluline otsida haavatavusi ka teistest allikatest.

Kokkuvõttes genereerib Dependency Check palju müra, jättes välja osa haavatavatest komponentidest. Dependency Track genereerib vähem müra ja tuvastab suure hulga komponente, mille esitamine veebiliideses ei koorma visuaalselt silma.

Siiski näitab praktika, et avatud lähtekood on esimene samm edasi küpsesse DevSecOps-i. Esimene asi, millele peaksite mõtlema, et integreerida SCA arendusse, on protsessid, nimelt mõtlemine koos juhtimise ja teiste osakondadega, kuidas peaksid teie organisatsiooni ideaalprotsessid välja nägema. Võib juhtuda, et teie organisatsiooni puhul katab algusjärgus Dependency Check või Dependency Track kõik äri vajadused, samas kui ettevõtete lahendused muutuvad loogiliseks jätkuks arendatavate rakenduste keerukuse suurenedes.

Lisad A. Tulemused komponentide osas
Märgid:

• High — kõrge ja kriitilise taseme haavatavused komponendis
• Medium — keskmise taseme haavatavused komponendis
• TRUE — Tõeliselt määratud haavatavus (True positive issue)
• FALSE — Valehäire (False positive issue)

Komponent
Nexus IQ
Dependency Check
Sõltuvuste jälgimine
Tulemus

dom4j: 1.6.1
Kõrge
Kõrge
Kõrge
TRUE

log4j-core: 2.3
Kõrge
Kõrge
Kõrge
TRUE

log4j: 1.2.14
Kõrge
Kõrge
—
TRUE

commons-collections:3.1
Kõrge
Kõrge
Kõrge
TRUE

commons-fileupload:1.3.2
Kõrge
Kõrge
Kõrge
TRUE

commons-beanutils:1.7.0
Kõrge
Kõrge
Kõrge
TRUE

commons-codec:1:10
Medium
—
—
TRUE

mysql-connector-java:5.1.42
Kõrge
Kõrge
Kõrge
TRUE

spring-expression:3.0.5
Kõrge
komponenti ei leitud

TRUE

spring-web:3.0.5
Kõrge
komponenti ei leitud
Kõrge
TRUE

spring-context:3.0.5
Medium
komponenti ei leitud
—
TRUE

spring-core:3.0.5
Medium
Kõrge
Kõrge
TRUE

struts2-config-browser-plugin:2.3.30
Medium
—
—
TRUE

spring-tx:3.0.5
—
Kõrge
—
FALSE

struts-core:1.3.8
Kõrge
Kõrge
Kõrge
TRUE

xwork-core: 2.3.30
Kõrge
—
—
TRUE

struts2-core: 2.3.30
Kõrge
Kõrge
Kõrge
TRUE

struts-taglib:1.3.8
—
Kõrge
—
FALSE

struts-tiles-1.3.8
—
Kõrge
—
FALSE

Lisa B. Tulemused haavatavuste osas
Märgid:

• High — kõrge ja kriitilise taseme haavatavused komponendis
• Medium — keskmise taseme haavatavused komponendis
• TRUE — Tõeliselt määratud haavatavus (True positive issue)
• FALSE — Valehäire (False positive issue)

Komponent
Nexus IQ
Dependency Check
Sõltuvuste jälgimine
Tõsidus
Tulemus
Kommentaar

dom4j: 1.6.1
CVE-2018-1000632
CVE-2018-1000632
CVE-2018-1000632
Kõrge
TRUE

CVE-2020-10683
CVE-2020-10683
CVE-2020-10683
Kõrge
TRUE

log4j-core: 2.3
CVE-2017-5645
CVE-2017-5645
CVE-2017-5645
Kõrge
TRUE

CVE-2020-9488
CVE-2020-9488
CVE-2020-9488
Madal
TRUE

log4j: 1.2.14
CVE-2019-17571
CVE-2019-17571
—
Kõrge
TRUE

—
CVE-2020-9488
—
Madal
TRUE

SONATYPE-2010-0053
—
—
Kõrge
TRUE

commons-collections:3.1
—
CVE-2015-6420
CVE-2015-6420
Kõrge
FALSE
Kordab RCE(OSSINDEX)

—
CVE-2017-15708
CVE-2017-15708
Kõrge
FALSE
Kordab RCE(OSSINDEX)

SONATYPE-2015-0002
RCE (OSSINDEX)
RCE(OSSINDEX)
Kõrge
TRUE

commons-fileupload:1.3.2
CVE-2016-1000031
CVE-2016-1000031
CVE-2016-1000031
Kõrge
TRUE

SONATYPE-2014-0173
—
—
Medium
TRUE

commons-beanutils:1.7.0
CVE-2014-0114
CVE-2014-0114
CVE-2014-0114
Kõrge
TRUE

—
CVE-2019-10086
CVE-2019-10086
Kõrge
FALSE
Haavatavus kehtib ainult versioonide 1.9.2+ jaoks

commons-codec:1:10
SONATYPE-2012-0050
—
—
Medium
TRUE

mysql-connector-java:5.1.42
CVE-2018-3258
CVE-2018-3258
CVE-2018-3258
Kõrge
TRUE

CVE-2019-2692
CVE-2019-2692
—
Medium
TRUE

—
CVE-2020-2875
—
Medium
FALSE
Täpne sama haavatavus, mis CVE-2019-2692, kuid märkusega 'rünnakud võivad oluliselt mõjutada täiendavaid tooteid'

—
CVE-2017-15945
—
Kõrge
FALSE
Ei kehti mysql-connector-java kohta

—
CVE-2020-2933
—
Madal
FALSE
Duplikaat CVE-2020-2934

CVE-2020-2934
CVE-2020-2934
—
Medium
TRUE

spring-expression:3.0.5
CVE-2018-1270
komponenti ei leitud
—
Kõrge
TRUE

CVE-2018-1257
—
—
Medium
TRUE

spring-web:3.0.5
CVE-2016-1000027
komponenti ei leitud
—
Kõrge
TRUE

CVE-2014-0225
—
CVE-2014-0225
Kõrge
TRUE

CVE-2011-2730
—
—
Kõrge
TRUE

—
—
CVE-2013-4152
Medium
TRUE

CVE-2018-1272
—
—
Kõrge
TRUE

CVE-2020-5398
—
—
Kõrge
TRUE
Näidis IQ toetuseks: 'Sonatype'i turvatehnoloogia meeskond avastas, et see haavatavus käidi välja versioonis 3.0.2.RELEASE ja mitte 5.0.x, nagu advisooris öeldud.'

CVE-2013-6429
—
—
Medium
TRUE

CVE-2014-0054
—
CVE-2014-0054
Medium
TRUE

CVE-2013-6430
—
—
Medium
TRUE

spring-context:3.0.5
CVE-2011-2894
komponenti ei leitud
—
Medium
TRUE

spring-core:3.0.5
—
CVE-2011-2730
CVE-2011-2730
Kõrge
TRUE

CVE-2011-2894
CVE-2011-2894
CVE-2011-2894
Medium
TRUE

—
—
CVE-2013-4152
Medium
FALSE
Selle sama haavatavuse duplikaat spring-web'is

—
CVE-2013-4152
—
Medium
FALSE
Haavatavus kehtib spring-web komponendi kohta

—
CVE-2013-6429
CVE-2013-6429
Medium
FALSE
Haavatavus kehtib spring-web komponendi kohta

—
CVE-2013-6430
—
Medium
FALSE
Haavatavus kehtib spring-web komponendi kohta

—
CVE-2013-7315
CVE-2013-7315
Medium
FALSE
SPLIT CVE-2013-4152. + Haavatavus kehtib spring-web komponendi kohta

—
CVE-2014-0054
CVE-2014-0054
Medium
FALSE
Haavatavus kehtib spring-web komponendi kohta

—
CVE-2014-0225
—
Kõrge
FALSE
Haavatavus kehtib spring-web komponendi kohta

—
—
CVE-2014-0225
Kõrge
FALSE
Selle sama haavatavuse duplikaat spring-web'is

—
CVE-2014-1904
CVE-2014-1904
Medium
FALSE
Haavatavus kehtib spring-web-mvc komponendi kohta

—
CVE-2014-3625
CVE-2014-3625
Medium
FALSE
Haavatavus kehtib spring-web-mvc komponendi kohta

—
CVE-2016-9878
CVE-2016-9878
Kõrge
FALSE
Haavatavus kehtib spring-web-mvc komponendi kohta

—
CVE-2018-1270
CVE-2018-1270
Kõrge
FALSE
spring-expression / spring-messages jaoks

—
CVE-2018-1271
CVE-2018-1271
Medium
FALSE
Haavatavus kehtib spring-web-mvc komponendi kohta

—
CVE-2018-1272
CVE-2018-1272
Kõrge
TRUE

CVE-2014-3578
CVE-2014-3578 (OSSINDEX)
CVE-2014-3578
Medium
TRUE

SONATYPE-2015-0327
—
—
Madal
TRUE

struts2-config-browser-plugin:2.3.30
SONATYPE-2016-0104
—
—
Medium
TRUE

spring-tx:3.0.5
—
CVE-2011-2730
—
Kõrge
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2011-2894
—
Kõrge
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2013-4152
—
Medium
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2013-6429
—
Medium
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2013-6430
—
Medium
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2013-7315
—
Medium
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2014-0054
—
Medium
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2014-0225
—
Kõrge
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2014-1904
—
Medium
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2014-3625
—
Medium
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2016-9878
—
Kõrge
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2018-1270
—
Kõrge
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2018-1271
—
Medium
FALSE
Haavatavus ei kehti spring-tx'ile

—
CVE-2018-1272
—
Medium
FALSE
Haavatavus ei kehti spring-tx'ile

struts-core:1.3.8
—
CVE-2011-5057 (OSSINDEX)

Medium
FASLE
Haavatavus Struts 2 jaoks

—
CVE-2012-0391 (OSSINDEX)
CVE-2012-0391
Kõrge
FALSE
Haavatavus Struts 2 jaoks

—
CVE-2014-0094 (OSSINDEX)
CVE-2014-0094
Medium
FALSE
Haavatavus Struts 2 jaoks

—
CVE-2014-0113 (OSSINDEX)
CVE-2014-0113
Kõrge
FALSE
Haavatavus Struts 2 jaoks

CVE-2016-1182
3VE-2016-1182
—
Kõrge
TRUE

—
—
CVE-2011-5057
Medium
FALSE
Haavatavus Struts 2 jaoks

—
CVE-2012-0392 (OSSINDEX)
CVE-2012-0392
Kõrge
FALSE
Haavatavus Struts 2 jaoks

—
CVE-2012-0393 (OSSINDEX)
CVE-2012-0393
Medium
FALSE
Haavatavus Struts 2 jaoks

CVE-2015-0899
CVE-2015-0899
—
Kõrge
TRUE

—
CVE-2012-0394
CVE-2012-0394
Medium
FALSE
Haavatavus Struts 2 jaoks

—
CVE-2012-0838 (OSSINDEX)
CVE-2012-0838
Kõrge
FALSE
Haavatavus Struts 2 jaoks

—
CVE-2013-1965 (OSSINDEX)
CVE-2013-1965
Kõrge
FALSE
Haavatavus Struts 2 jaoks

—
CVE-2013-1966 (OSSINDEX)
CVE-2013-1966
Kõrge
FASLE
Haavatavus Struts 2 jaoks

—
CVE-2013-2115
CVE-2013-2115
Kõrge
FASLE
Haavatavus Struts 2 jaoks

—
CVE-2013-2134 (OSSINDEX)
CVE-2013-2134
Kõrge
FASLE
Haavatavus Struts 2 jaoks

—
CVE-2013-2135 (OSSINDEX)
CVE-2013-2135
Kõrge
FASLE
Haavatavus Struts 2 jaoks

CVE-2014-0114
CVE-2014-0114
—
Kõrge
TRUE

—
CVE-2015-2992
CVE-2015-2992
Medium
FALSE
Haavatavus Struts 2 jaoks

—
CVE-2016-0785 (OSSINDEX)
CVE-2016-0785
Kõrge
FALSE
Haavatavus Struts 2 jaoks

CVE-2016-1181
CVE-2016-1181
—
Kõrge
TRUE

—
CVE-2016-4003 (OSSINDEX)
CVE-2016-4003
Kõrge
FALSE
Haavatavus Struts 2 jaoks

xwork-core:2.3.30
CVE-2017-9804
—
—
Kõrge
TRUE

SONATYPE-2017-0173
—
—
Kõrge
TRUE

CVE-2017-7672
—
—
Kõrge
FALSE
CVE-2017-9804 dublet

SONATYPE-2016-0127
—
—
Kõrge
TRUE

struts2-core:2.3.30
—
CVE-2016-6795
CVE-2016-6795
Kõrge
TRUE

—
CVE-2017-9787
CVE-2017-9787
Kõrge
TRUE

—
CVE-2017-9791
CVE-2017-9791
Kõrge
TRUE

—
CVE-2017-9793
—
Kõrge
FALSE
CVE-2018-1327 dublika

—
CVE-2017-9804
—
Kõrge
TRUE

—
CVE-2017-9805
CVE-2017-9805
Kõrge
TRUE

CVE-2016-4003
—
—
Medium
FALSE
Kohaldub target Apache Struts 2.x kuni 2.3.28, kuid versioon on 2.3.30. Kuid, lähtudes kirjeldusest, CVE kehtib iga Struts 2 versiooni puhul, kui kasutatakse JRE 1.7 või vanemat. Tundub, et nad üritavad ennast kaitsta, kuid see näeb rohkem välja nagu vale.

—
CVE-2018-1327
CVE-2018-1327
Kõrge
TRUE

CVE-2017-5638
CVE-2017-5638
CVE-2017-5638
Kõrge
TRUE
Just see haavatavus, mida kuritegelikud isikud kasutasid Equifaxis 2017. aastal.

CVE-2017-12611
CVE-2017-12611
—
Kõrge
TRUE

CVE-2018-11776
CVE-2018-11776
CVE-2018-11776
Kõrge
TRUE

struts-taglib:1.3.8
—
CVE-2012-0394
—
Medium
FALSE
struts2-core jaoks

—
CVE-2013-2115
—
Kõrge
FALSE
struts2-core jaoks

—
CVE-2014-0114
—
Kõrge
FALSE
commons-beanutils jaoks

—
CVE-2015-0899
—
Kõrge
FALSE
Ei kehti taglibi suhtes

—
CVE-2015-2992
—
Medium
FALSE
Kehtib struts2-core suhtes

—
CVE-2016-1181
—
Kõrge
FALSE
Ei kehti taglibi suhtes

—
CVE-2016-1182
—
Kõrge
FALSE
Ei kehti taglibi suhtes

struts-tiles-1.3.8
—
CVE-2012-0394
—
Medium
FALSE
struts2-core jaoks

—
CVE-2013-2115
—
Kõrge
FALSE
struts2-core jaoks

—
CVE-2014-0114
—
Kõrge
FALSE
commons-beanutils all

—
CVE-2015-0899
—
Kõrge
FALSE
Ei kehti tiles'i suhtes

—
CVE-2015-2992
—
Medium
FALSE
struts2-core jaoks

—
CVE-2016-1181
—
Kõrge
FALSE
Ei kehti taglibi suhtes

—
CVE-2016-1182
—
Kõrge
FALSE
Ei kehti taglibi suhtes

Allikas: habr.com