Biar saya ceritakan satu cerita Terdapat versi yang rapi, hampir akademik bagaimana keselamatan perisian hendaklah berfungsi.Ia muncul dalam perbualan persidangan, dokumen pematuhan dan dalam diagram gembira yang dilihat pada slaid pemasaran.Ia biasanya kelihatan seperti ini: Seorang penyelidik mendapati bug, secara diam-diam (dan secara profesional) melaporkan ia ke atas, ke atas patches ia, CVE ditugaskan, pemelihara ke bawah menarik penyelesaian, pemindai notis, pembela patch, dan dunia kekal kebanyakan ok. Sekiranya ini benar-benar cara perkara bekerja, saya tidak akan di sini menulis tentang penyelesaian-hanya ke bawah aliran, patch diam, atau isu-isu keselamatan yang wujud di satu tempat dan hilang di tempat lain. Dan semua orang perlu tahu. mengganggu Apa yang anda akan pelajari dalam artikel ini 
 
 
 
 
 
 The Security Timeline Inversion: Bagaimana pendedahan CVE bukan permulaan sebenar garis masa keselamatan. Hasil Keselamatan: Mengapa keputusan pemeliharaan rutin, bukan kelajuan tindak balas atau alat, menentukan hasil keselamatan. Indikator cacat: Mengapa skor CVE, pemindai, dan tarikh tamat tempoh tidak merupakan sistem amaran awal yang berkesan. Distortion Vulnerability: Bagaimana komponen yang tertanam, dibungkus, dan akhir hayat menyamarkan kelihatan kepada kelemahan dan tanggungjawab. Perubahan yang diperlukan: Perubahan pentadbiran dan kitaran hayat diperlukan untuk mengelakkan terlambat secara struktural kepada kelemahan "silent". Pada Februari 2025, Apache Tomcat menghantar satu set Mereka tiba tanpa kecemasan, tanpa komen, dan tanpa jenis bunyi yang boleh menyertai insiden keselamatan yang penting. Rutin Bagi kebanyakan pasukan, tidak ada sebab segera untuk merawat rilis ini berbeza daripada kemas kini pemeliharaan lain. Tiada yang kelihatan rosak. Tiada yang kelihatan terjejas. Tiada pengenal kelemahan untuk bertindak balas. Beberapa minggu kemudian, rilis yang sama menjadi pusat kecemasan keselamatan. Pada masa CVE-2025-24813 telah dipublikasikan pada bulan Mac, laluan kod yang terjejas telah diidentifikasi, diperbaiki, dan dihantar melalui cawangan Tomcat yang disokong. penyelesaian itu wujud sebelum masalah itu mempunyai nama. Bagi semua orang lain, ia datang sebagai kejutan yang tidak menyenangkan: skor CVSS 9.8 adalah cara yang hebat untuk memulakan hari anda. Berasa bebas untuk melihat butiran CVE di sini Kami akan melihat kandungan kemudian, kerana apa yang direkam dan siapa yang merekodkan ia adalah sebahagian daripada cerita ini. Rincian teknikal gory CVE kebanyakannya tidak relevan. Ciri-ciri penting adalah bahawa CVE ini tidak berlaku dalam mode; ia mesti diizinkan. https://nvd.nist.gov/vuln/detail/CVE-2025-24813 Kekurangan https://nvd.nist.gov/vuln/detail/CVE-2025-24813 Urutan peristiwa ini akan membantu kami memahami bagaimana CVE boleh berkembang dan bagaimana ia boleh memberi kesan kepada pengguna. Penukaran Jadual Keselamatan Inversion ini mudah terlepas jika anda hanya melihat tarikh pendedahan. garis masa keselamatan biasanya dikatakan seolah-olah mereka bermula apabila CVE diterbitkan. Apabila roket pada pad peluncuran mula mengira ke bawah, kita melihat enjin bermula sebelum roket meninggalkan tanah. Itulah jenis corak yang kita lihat dengan CVEs. Dalam kes ini, pasukan keselamatan Tomcat mengikuti corak yang sepenuhnya normal untuk infrastruktur sumber terbuka yang bertahan lama. Laporan peribadi tiba. Masalah itu disiasat. Penyelesaian telah dibangunkan dan dihantar. diam-diam, dan semua sebelum ‘roket’ meninggalkan pad. Hanya selepas versi patch telah tersedia, pendedahan awam berlaku. maksudnya bukan rahsia tetapi pengekangan: matlamat adalah untuk mengurangkan tetingkap di mana pembela tidak mempunyai tindak balas yang layak. Kebiasaan vs. Hype Pendekatan itu berfungsi dengan baik untuk organisasi yang memperlakukan pelepasan titik sebagai sesuatu yang boleh digunakan secara rutin Pasukan itu menaik taraf tanpa tahu mengapa, dan pada masa kerentanan itu dibincangkan secara awam, mereka sudah dilindungi. Bagi organisasi yang bergantung kepada pendedahan sebagai pemicu untuk tindakan, March berasa seperti hari nol. kerentanan kelihatan sepenuhnya terbentuk, lengkap dengan skor keparahan, tuntutan eksploit, dan lain-lain Dari luar, ia kelihatan seolah-olah semua orang menghadapi risiko yang sama pada masa yang sama. Dua pasukan boleh menjalankan versi yang sama Tomcat pada bulan Januari dan berakhir dalam kedudukan yang sangat berbeza pada pertengahan Mac. Satu diisolasi, yang lain didedahkan. Ia telah Kebiasaan Kesilapan pengambilan amaran keras Terdapat asumsi yang berterusan dalam banyak organisasi kejuruteraan bahawa isu-isu keselamatan yang serius akan mengumumkan diri mereka dengan suara yang cukup keras untuk menuntut perhatian. Asumsi itu semakin tidak boleh dipercayai. Dalam kes ini, indikator yang paling penting tidak dapat dibezakan daripada pemeliharaan rutin. Kemasukan changelog. Pemberhentian versi yang tidak berasa mendesak kerana tidak ada yang telah memberitahu sesiapa pun bahawa ia perlu. Sebaik sahaja CVE diterbitkan, narasi biasa mengambil alih. kelemahan itu memperoleh nama, skor, dan penonton sasaran. Perbincangan mengenai keparahan, kegunaan, dan konfigurasi bermula dengan serta-merta. Prioriti Perubahan Terhadap Kisah Ia menggoda untuk melihat rilis Februari itu sebagai masa yang beruntung. Mereka tidak. Mereka hanyalah hasil daripada proses yang memberi keutamaan kepada penyelesaian kod daripada menguruskan persepsi. ketidakselesaan datang daripada menyedari berapa banyak organisasi yang Terstruktur untuk bertindak balas kepada cerita daripada perubahan, kepada pernyataan daripada diffs. Tidak sedar Pada masa ekosistem yang lebih luas mula membincangkan implikasi CVE-2025-24813, hasil teknikal telah ditetapkan. Bagaimana CVE ini (dan untuk jujur, majoriti besar semua CVE) dilancarkan di seluruh dunia adalah tumpuan interpretasi, penilaian, dan kewajipan Itulah di mana kajian kes ini menjadi menarik dan membuat sampel yang hebat. Berikut ialah jadual utama Elemen kritikal semua mengelilingi maklumat CVE dan CPE NVD. yang boleh anda temukan di sini . https://nvd.nist.gov/vuln/detail/CVE-2025-24813 https://nvd.nist.gov/vuln/detail/CVE-2025-24813 
 
 Saya perlu menekankan bahawa ini tidak dimaksudkan untuk menunjukkan bahawa apa-apa yang tidak sesuai telah berlaku. Saya perlu menekankan bahawa ini tidak dimaksudkan untuk menunjukkan bahawa apa-apa yang tidak sesuai telah berlaku. . Bagaimana perkara-perkara 13 Januari 2025. kelemahan dilaporkan secara peribadi Pasukan keselamatan Apache Tomcat menerima laporan peribadi kerentanan yang melibatkan permintaan HTTP PUT sebahagian dan servlet fail lalai. 24 Januari 2025: Fix komited. Jawatankuasa telah dicatat, dan, seperti biasa dan dijangka, tidak ada tanda-tanda bahawa ia membetulkan kecacatan keselamatan. permintaan tarik yang berkaitan dinamakan "Enhance lifecycle of temporary files used by partial PUT" https://github.com/apache/tomcat/commit/0a668e0c27f2b7ca0cc7c6eea32253b9b5ecb29c https://github.com/apache/tomcat/commit/0a668e0c27f2b7ca0cc7c6eea32253b9b5ecb29c 10 Februari 2025: Fix dilancarkan secara diam-diam. Apache secara diam-diam melepaskan Tomcat 9.0.99, 10.1.35, dan 11.0.3 dengan penyelesaian yang disertakan.Ia adalah sebulan sebelum pendedahan awam. 10 Mac 2025: CVE-2025-24813 Diterbitkan Secara Awam Pihak berkuasa telah mengisytiharkan bahawa penyelidikan dan penyelidikan telah diproses oleh pihak berkuasa yang bersangkutan dan telah mengesahkan bahawa penyelidikan dan penyelidikan telah diproses oleh pihak berkuasa yang bersangkutan. ( ) mengutip https://nvd.nist.gov/vuln/detail/CVE-2025-24813 https://nvd.nist.gov/vuln/detail/CVE-2025-24813 Masalah ini memberi kesan kepada Apache Tomcat: daripada 11.0.0-M1 hingga 11.0.2, daripada 10.1.0-M1 hingga 10.1.34, daripada 9.0.0.M1 hingga 9.0.98 13-14 Mac 2025: Eksploit PoC & Serangan Aktif Mulakan Dalam masa 30 jam selepas didedahkan, eksploit bukti konsep dikeluarkan secara awam. percubaan massal dan percubaan eksploit dimulakan dengan segera. Kaedah serangan: muat naik webshell JSP melalui PUT bahagian, trigger melalui permintaan JSESSIONID yang dibuat. Sources: Sonatype Blog | CyRisk Analysis 17 Mac, 2025: Eksploit POC ditambah kepada rekod CVE NVD https://github.com/absholi7ly/POC-CVE-2025-24813/blob/main/README.md 18 Mac 2025: Maklumat CPE pertama dimasukkan ke CVE kepada CPE adalah maklumat ajaib yang menjadikan CVE pada dasarnya boleh dibaca oleh mesin. Ia membolehkan pengguna CVE yang automatik 'beritahu' versi produk mana yang rentan. https://nvd.nist.gov/products/cpe https://nvd.nist.gov/products/cpe Pada titik ini, CPE hanya sepadan dengan pernyataan julat versi asal yang anda lihat sebelum ini. 19–26 Mac 2025: Analisis Pembekal Keselamatan diterbitkan Rapid7, Akamai, Wiz, dan Sonatype menerbitkan analisis terperinci. Rapid7 mencatat bahawa "tidak perlu panik" kerana eksploitasi yang meluas tidak dikonfirmasi dan sesetengah prasyarat yang dinyatakan oleh Apache berlebihan. Sources: Rapid7 Blog | Akamai Blog | Wiz Analysis 1 April 2025 :CISA menambah katalog KEV CVE mencatat bahawa CISA menambah CVE-2025-24813 ke dalam katalog Kerentanan yang Dieksploitasi, mengutip bukti eksploitasi aktif. agensi-agensi persekutuan Amerika Syarikat telah diberi tarikh tamat pada 22 April 2025, untuk patch. Amazon AWS juga mengeluarkan ALAS-2025-2812 pada hari yang sama. Sources: Keysight Analysis | Amazon Linux Advisories Awal April 2025 : Enterprise Vendor Patches dikeluarkan Red Hat, Amazon, SUSE, Atlassian, dan pembekal perniagaan lain mengeluarkan patch. Kebanyakan menekankan bahawa konfigurasi lalai tidak rentan kerana servlet lalai hanya boleh dibaca. entri CPE mendapat entri debian tomcat. Sources: Red Hat CVE | Amazon CVE 3 Julai 2025: Unit 42 melaporkan 125K+ percubaan serangan Unit 42 Palo Alto melaporkan 125,856 percubaan eksploit dihalang pada bulan Mac 2025 sahaja. Kebanyakan trafik eksploitasi kelihatan "opportunistik" menggunakan PoC awam oleh pelakon-pelakon yang kurang canggih. Source: Unit 42 Report Adakah kita selesai? Well, untuk sesetengah pengguna Tomcat, mereka pada versi 9, 10, atau 11, semuanya ok.Mereka mempunyai penyelesaian, dan selagi mereka menaik taraf, maka mereka selamat. 7 Ogos 2025 - CVE dikemas kini " Versi EOL yang lebih tua juga mungkin terjejas." Kerana beberapa lobby yang dipimpin oleh HeroDevs, pasukan Apache menambah amaran. Ini penting. Ini sangat jarang berlaku, tetapi terdapat jurutera dalam campuran di Apache dan di tempat lain yang berfikir bahawa amaran itu diperlukan. CPE telah dikemas kini, tetapi ia tidak mendapat apa-apa maklumat mengenai versi EOL, kerana tidak ada apa-apa yang spesifik untuk dimasukkan. 8 Ogos 2025 - CVE Dikemaskini dengan maklumat lanjut mengenai versi EOL CVE kini menyatakan, "versi berikut adalah EOL pada masa CVE dicipta tetapi diketahui terjejas: 8.5.0 kepada 8.5.100.”Sekarang CVE secara rasmi terpakai kepada versi lain aliran Tomcat. Malangnya, CPE tidak dikemas kini. hari ini Malah hari ini, CVE ini belum dikemas kini untuk memasukkan maklumat CPE yang boleh membantu pemindai mengesan masalah dalam versi 8.5. Sebahagian daripada itu boleh dikaitkan dengan sifat CVE. Kerana kerentanan hanya mungkin jika konfigurasi lalai diubah. berubah kepada bacaan = kebenaran boleh baca = palsu Ini bermakna, secara teori, eksploitabiliti bergantung kepada pengguna Tomcat yang mampu membuat perubahan ini.Jika Tomcat dimasukkan dengan cara yang menghalang konfigurasi ini daripada diubah, maka produk 'memasukkan' mungkin berhak mengklaim bahawa mereka tidak rentan. Terdapat juga banyak fork dan varian komersial Apache Tomcat. Sebagai contoh, ia adalah komponen Spring Boot, dan Broadcom Tanzu membina ia juga. Berapa banyak cawan lemak di luar sana di mana maklumat komponen telah hilang, atau projek POM telah dikemas kini sejak penghantaran? Bagaimanakah mesej itu dikurangkan Kebenaran yang kerap pahit adalah bahawa CVE melaporkan dan mendapatkan kesedaran yang sesuai kepada orang yang betul gagal.Sebenarnya, semakin popular komponen adalah untuk membungkus atau embedded, semakin sukar ia boleh menjadi untuk mencapai mereka yang perlu tahu tentang ia. untuk tanzu betul menyatakan bahawa CVE terpakai kepada Tanzu dan menetapkan pengenalannya sendiri, TNZ-2025-014. Mereka memberi amaran kepada pengguna mereka bahawa CVE terpakai kepada versi 9,10 dan 11, tetapi kemudian, seperti biasa, ia menjadi berantakan. Suite Tanzu adalah canggih dan kompleks. Tiba-tiba, CVE, bukannya mudah ' Saya tidak tahu sama ada Tanzu mempunyai versi dengan Tomcat 8 atau lebih awal - saya berasumsi mereka melakukannya. Mengikut nasihat mereka adalah tarikh 2025-03-25, lama sebelum CVE mempunyai maklumat versi EOL tambahan ditambah, seseorang boleh bersimpati dengan kesilapan ini, walaupun ia boleh menjadi pendedahan utama untuk produk Tanzu yang lebih tua. Laman Sokongan Tag: anda atau tidak Senario Perpaduan Pada masa CVE-2025-24813 memperoleh nama, skor, dan kitaran media, hasilnya telah berpaling. Penyelesaian itu wujud sebelum CVE. Sesetengah sistem dilindungi sebelum sesiapa tahu mengapa. yang lain akan kekal terdedah tidak kira seberapa cepat mereka bertindak pada bulan Mac. Perbezaan itu tidak datang daripada kesedaran, alat, atau apa-apa kecerdasan ancaman. Ia datang daripada masa. Lebih tepatnya, daripada asumsi bahawa keselamatan bermula apabila kerentanan dinyatakan, bukannya apabila kod berubah diam-diam. Apa yang diikuti bukanlah satu peristiwa sahaja, tetapi sebuah kaskada yang berpanjangan. Teks CVE telah berkembang. Data CPE tiba terlambat dan tidak lengkap. nasihat pembekal telah mengubah skop. tarikh tatanan menguatkan kebenaran sebahagiannya ke dalam dasar. Kemas kini mengenai pendedahan EOL muncul berbulan-bulan kemudian, selepas banyak keputusan latar belakang telah dibuat. Tiada apa-apa daripada ini adalah jahat. Tiada apa-apa yang tidak biasa. Ekosistem kerentanan moden berperilaku apabila ia memperlakukan pendedahan sebagai momen dan bukannya proses. bagaimana Ia berlaku pada bulan Januari, Februari, Mac, Ogos dan seterusnya bergantung kepada di mana anda duduk dan isyarat-isyarat yang anda bergantung kepada. CVE-2025-24813 Bagaimanakah anda perlu bertindak balas? Apa ini bermakna kepada anda dan apa yang perlu dilakukan seterusnya Walaupun saya tidak suka istilah "kebenaran yang tidak selesa", ia adalah yang paling kerap digunakan dalam keadaan ini. “Kesimpulan yang tidak selesa” daripada kajian kes ini bukanlah bahawa Ia adalah bahawa tiada apa-apa tentang bagaimana ia dilaporkan dan dikendalikan Menerima CVE-2025-24813 Tidak biasa sama sekali Kerentanan itu tidak tiba dengan apa-apa fanfare. Ia tidak mengumumkan dirinya sebagai mendesak. Ia diselesaikan sebelum ia dinamakan. Sistem yang selamat melakukannya bukan kerana mereka bertindak lebih cepat, tetapi kerana mereka telah memutuskan, lama sebelum, bagaimana mereka akan merawat perubahan. Jika kedudukan keselamatan anda bergantung kepada mengapa kemas kini penting sebelum anda menerapkannya, maka anda sudah beroperasi terlambat. Mengetahui Dalam ekosistem moden, penjelasan mengikuti tindakan, bukan sebaliknya. Apa yang dimaksudkan dalam amalan , pendedahan bukan lagi permulaan garis masa keselamatan. Pada masa CVE memperoleh nama, skor, dan akhirnya tarikh tamat tempoh pematuhan, kerja teknikal yang menentukan sering telah berlaku di tempat lain.Jika organisasi anda memperlakukan pengungkapan sebagai pemicu untuk pergerakan, anda secara struktural terdedah kepada penyelesaian diam yang anda tidak akan pernah mengutamakan dalam masa. First , pemindai tidak memberi anda prediksi; mereka hanya memberitahu anda terlambat. Second Pangkalan data CVE, CPE, dan katalog KEV adalah alat koordinasi.Mereka membantu ekosistem besar bergerak bersama-sama apabila narasi stabil.Mereka tidak memberitahu anda apabila risiko Mereka tidak boleh masuk ke dalam kod database anda, atau apabila ia pergi diam-diam.Menghadapi mereka sebagai sistem amaran awal mencipta titik buta. Sebenarnya , “keselamatan lalai” bukanlah satu strategi. Third Ramai pasukan berpuas hati dengan idea bahawa kelemahan ini memerlukan konfigurasi bukan lalai. perbezaan itu runtuh ketika distribusi tertanam, fork, dan penyebaran JAR lemak memasuki imej. Jika anda tidak boleh membuktikan bagaimana komponen dikonfigurasi dalam pengeluaran, anda tidak boleh bergantung kepada asumsi keselamatan upstream. Kebiasaan mengalahkan heroik. Perbezaan antara sistem yang dilindungi dan yang terdedah dalam kisah ini bukanlah alat, kecerdasan ancaman, atau kelajuan tindak balas. Finally Apa yang perlu anda lakukan seterusnya Jangan tunggu CVE seterusnya untuk menguji asumsi ini. anda sudah mempunyai maklumat yang cukup untuk bertindak. dengan mengenal pasti sumber keputusan peningkatan anda. Start Jika kemas kini diberi keutamaan hanya selepas kerentanan dinamakan, dicetak, atau dibenarkan, ia merupakan masalah pentadbiran dan kawalan, bukan teknikal. keputusan dibuat, bukan alat mana yang dikonsultasikan. bila Bagaimanakah anda mengendalikan “penyelesaian yang tenang”. Examine Tanya apa titik pelepasan dalam persekitaran anda akan digunakan secara automatik, dan mana yang akan ditangguhkan sehingga dibenarkan. tanggungjawab bagi komponen akhir hayat secara eksplisit. Map Jika ketergantungan tidak lagi disokong oleh upstream, risiko itu tidak lagi abstrak atau masa depan. tanggungjawab keselamatan telah berpindah. Ia kini duduk sama ada dengan anda, dengan pembekal bawah aliran, atau dengan tiada siapa pun sama sekali. Saya perlu menjadi jelas mengenai kedudukan saya di sini.Saya bekerja untuk sebuah syarikat yang menyediakan sokongan yang diperluas untuk komponen sumber terbuka akhir hayat.Ia adalah satu cara, kadang-kadang yang sangat praktikal, untuk mendapatkan semula kawalan apabila kerentanan muncul dalam perisian lama.Ia boleh membeli ruang nafas.Ia boleh menstabilkan sistem cukup lama untuk membuat keputusan yang bijak. (Perkara Melayu Tetapi ia bukan satu-satunya pilihan, dan juga bukan pengganti untuk memahami bagaimana anda berakhir di sini. Sokongan diperluaskan adalah rangkaian keselamatan, bukan strategi. Oleh itu, terdapat peningkatan yang dipercepat, kawalan mengimbangi, pengasingan, atau perubahan seni bina. Semua daripada mereka adalah jawapan yang sah dalam konteks yang berbeza. Mod kegagalan sebenar tidak memilih sebarang jawapan. Drifting ke dalam keadaan di mana tiada siapa yang jelas bertanggungjawab, dan tiada jawapan sebenarnya dimiliki, adalah pilihan yang salah. End-of-life tidak bermaksud "tidak selamat oleh lalai."Ini bermakna beban bukti telah dipindahkan.Seseorang kini mesti secara aktif membawa tanggungjawab keselamatan.Jika anda tidak boleh menunjukkan kepada siapa itu atau menjelaskan bagaimana tanggungjawab itu dipenuhi, maka risiko sudah wujud, sama ada CVE mempunyai perhatian anda atau tidak. Pertimbangkan keselamatan sebagai kitaran hayat, bukan peristiwa. Jika proses anda hanya terlibat pada masa pendedahan, anda mengoptimumkan untuk narasi, untuk cerita, bukannya hasil. Finally CVE-2025-24813 Keselamatan tidak bermula di liftoff Pada masa hitungan balik mencapai nol, enjin telah terbakar untuk masa yang lama.Satu-satunya soalan ialah sama ada anda menyedari, dan sama ada anda membina sistem anda untuk bergerak sebelum seseorang memberitahu anda mengapa.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

This story contains new, firsthand information uncovered by the writer.

Read My Stories

Audio ini dihasilkan dalam bahasa asal cerita!

Keselamatan tidak bermula dengan pendedahan CVE

About Author

KOMEN

GANTUNG TANDA

ARTIKEL INI DIBENTANGKAN DALAM

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps