Apache Seata反序列化漏洞來襲，啟明星辰提供解決方案
發布時間 2024-09-23Apache Seata 是一款開源的分布式事務解決方案，致力于在微服務架構下提供高性能和簡單易用的分布式事務服務。
2024年9月，啟明星辰監控到Apache Seata 官方發布了CVE-2024-22399 Apache Seata Hessian反序列化漏洞。該漏洞CVSS3.1目前評分為9.8分，并且其綜合評級為“超?！?。
經研究確定，Apache Seata 用于服務端與客戶端通信的RPC 協議（默認端口為8091）以及自2.0.0 版本起實現的Raft 協議消息，均支持采用Hessian 進行數據的序列化與反序列化操作。在2.1.0 及1.8.1 版本之前，Seata在處理RPC 請求時，對RPC 消息體中的序列化數據校驗機制不夠嚴格。這一情況致使攻擊者能夠構造包含惡意Hessian 序列化數據的消息體，并發送惡意RPC 請求，最終可能導致遠程代碼執行。若成功利用此漏洞，攻擊者則有可能完全掌控受影響的系統，其中包括獲取敏感數據的訪問權限、執行任意指令，或者發起進一步的網絡攻擊行為。請受影響的用戶盡快采取防護措施。
漏洞復現
影響版本
Apache Seata 2.0.0 版本
Apache Seata 1.0.0 至 1.8.0 版本
解決方案
一、官方修復方案
目前官方已有可更新版本，建議受影響用戶升級至最新版本:
Apache Seata 2.1.0/1.8.1
官方下載地址：
https://github.com/apache/incubator-seata/releases/tag/v2.1.0
二、啟明星辰解決方案
1、啟明星辰終端產品方案
天珣終端安全一體化（EDR）提供漏洞的專項驗證檢查能力對漏洞駐留終端進行全網同步驗證，同時提供實時告警異常子父進程，監控主機異常外連檢測或防御能力，抵御漏洞攻擊風險。
2、啟明星辰檢測類產品方案
天闐入侵檢測與管理系統（IDS）、天闐超融合檢測探針（CSP）、天闐威脅分析一體機（TAR）、天清入侵防御系統（IPS）升級到當前最新版本事件庫即可有效檢測或防護該漏洞造成的攻擊風險，事件庫下載地址：
https://venustech.download.venuscloud.cn/
3、啟明星辰漏掃產品方案
（1）“啟明星辰漏洞掃描系統V6.0”產品已支持對該漏洞進行掃描。
（2）啟明星辰漏洞掃描系統608X系列版本已支持對該漏洞進行掃描。
4、啟明星辰資產與脆弱性管理平臺（ASM）產品方案
啟明星辰資產與脆弱性管理平臺實時采集并更新情報信息，對入庫資產漏洞Apache Seata 反序列化漏洞（CVE-2024-22399）進行管理。
5、啟明星辰安全管理和態勢感知平臺產品方案
用戶可以通過泰合安全管理和態勢感知平臺，進行關聯策略配置，結合實際環境中系統日志和安全設備的告警信息進行持續監控，從而發現“Apache Seata 反序列化漏洞（CVE-2024-22399）”的漏洞利用攻擊行為。
（1） 在泰合的平臺中，通過脆弱性發現功能針對“Apache Seata 反序列化漏洞（CVE-2024-22399）”漏洞掃描任務，排查管理網絡中受此漏洞影響的重要資產。
（2）平臺“關聯分析”模塊中，添加“L2_Apache Seata 反序列化漏洞”，通過啟明星辰檢測設備、目標主機系統等設備的告警日志，發現外部攻擊行為。
通過分析規則自動將"L2_Apache Seata反序列化漏洞"漏洞利用的可疑行為源地址添加到觀察列表“高風險連接”中，作為內部情報數據使用。
（3） 添加“L3_Apache Seata反序列化漏洞”，條件日志名稱等于或包含“L2_Apache Seata 反序列化漏洞”，攻擊結果等于“攻擊成功”，目的地址引用資產漏洞或源地址匹配威脅情報，從而提升關聯規則的置信度。
（4）ATT&CK攻擊鏈條分析與SOAR處置建議
根據對CVE-2024-22399漏洞的攻擊利用過程進行分析，攻擊鏈涉及多個ATT&CK戰術和技術階段，覆蓋的TTP包括：
TA0001初始訪問：T1190利用面向公眾的應用程序
TA0002執行：T1059命令和腳本解釋器
TA0004提權： T1068利用漏洞提升權限
TA0009數據收集： T1005從本地系統收集數據
通過泰合安全管理和態勢感知平臺內置SOAR自動化或半自動化編排聯動響應處置能力，針對該漏洞利用的告警事件編排劇本，進行自動化處置。
京公網安備11010802024551號