前 10 大 Java 漏洞以及如何修复它们

Java 在安全性方面一直受到批评，但考虑到过去 15 年中有一半的企业应用程序是用该语言编写的，其普遍性（和众所周知的攻击媒介）可能比 Java 固有的安全弱点更值得指责。也就是说，正在开发新的方法（例如 Rask、Waratek）来提高 Java 虚拟机（JVM）级别 Java Web 应用程序的安全性，但对于大多数组织来说，为 Java 应用程序建立传统的安全防御有助于防止大多数与 Java 相关的漏洞。

由于 Java 无处不在，因此对 Java 相关工具和技术的全面漏洞管理对于维护强大的安全性至关重要 - 无论您是运行完整的 CI/CD 管道还是几个内部企业 Web 应用程序。以下是 10 大 Java 技术漏洞，包括支持基于 Java 的应用程序开发的工具和常用应用程序。

10 大 Java 漏洞

1. JUnit

此单元测试框架是大多数 Java 开发人员工具包中的标准项，支持快速、自动化的代码库测试。但是，其他应用程序附带的 JUnit 文件可能存在漏洞。例如，低于 2.5.1 RC 的 Google Web Toolkit （GWT）版本包含多个跨站点脚本（XSS）漏洞。

2. 詹金斯

作为市场上最常用的持续集成（CI）服务器，Jenkins 在 Java 开发人员中拥有大量追随者。不幸的是，作为持续集成工具的流行通常意味着更多的漏洞和漏洞利用——在 Jenkins 的案例中，存在多个 XSS、跨站点请求伪造（CSRF）和拒绝服务（Dos）漏洞。

3. 休眠

流行的 ORM 框架 Hibernate 通常用于 Java 开发人员将关系数据库对象（如表）映射到 Java 类。开源工具的 4.1.0 版低于 4.2.1、4.3.x 版低于 4.3.2 以及 5.x 版低于 5.1.2 包含一个漏洞，该漏洞可能允许攻击者绕过 Java 安全管理器（JSM）。

4. 梅文

Apache Maven 是一种广泛使用的 Java 项目构建管理器，允许集中管理项目的构建、报告和文档。Apache Maven 3.0.4 中存在一个漏洞，使得远程黑客能够在中间人攻击中欺骗服务器。

5. 雄猫

这种流行的 Java Web 应用程序服务器一直是开发人员使用 JavaServer Pages 构建 servlet 和应用程序的最爱。十多年来，Tomcat 已经积累了从 XSS 到 CSRF 漏洞的一系列相对令人印象深刻的安全漏洞，其中许多漏洞已被广泛利用。

6. 爪哇 7

尽管 Java 8 于去年问世，但 Java 7 仍占主导地位，但预计到 2016 年，版本 8 将处于领先地位。毋庸置疑，任何低于 7 的 Java 版本都应该立即更新，即使是版本 7 也需要对其漏洞进行重大修复。

7. Spring 框架

Spring 是一个应用程序框架，具有自己的 Java 模型-视图-控制器框架，允许分离输入、业务和 UI 逻辑。作为一个开源项目，Spring 并非没有记录在案的漏洞。

8. JavaServer Faces

JavaServer Faces （JSF）是 Java 的表示框架，有助于开发可重用的用户界面元素。低于 2.0.12 的 Apache MyFaces Core 2.0.x 和低于 2.1.6 的 2.1.x 中存在一个漏洞，可让远程攻击者读取任意文件。

9. Eclipse IDE

Eclipse 是一种流行的桌面工具，用于使用 Java 构建 Web 应用程序，多年来一直是 Java 开发人员首选的集成开发环境（IDE）。不幸的是，其帮助文件的某些版本（所有版本）容易受到与 XSS 相关的漏洞攻击。

10. 瓦丁

Vaadin 是一种流行的 Java 框架，用于构建现代 Java Web 应用程序，想想由 Java 提供支持的现代单页 Web 应用程序。框架中的 XSS 漏洞可允许远程攻击者将任意脚本注入页面。

修复

要修复上述漏洞，您需要确定您的环境中正在使用哪些技术，并访问相应供应商/项目的网站以获取更新/补丁信息。UpGuard 只需单击几下鼠标即可自动找到所有这些项目。此外，我们的可编辑 Java 漏洞策略可以扩展以适应对其他 Java 工具的任何自定义检查。立即试用 - 它是免费的。