Apache HertzBeat SnakeYaml反序列化漏洞來襲，啟明星辰提供解決方案
發布時間 2024-09-28Apache HertzBeat 是開源的實時監控工具，受影響版本中未對用戶可控的 yaml 文件有效過濾，經過身份驗證的攻擊者可構造惡意的 yaml 文件遠程執行任意代碼。
2024年9月，啟明星辰監控到Apache HertzBeat官方發布了CVE-2024-42323 ，snakeYaml 的 RCE 加載惡意 yaml數據。該漏洞CVSS3.1目前評分為8.8分，并且其綜合評級為“高?！?。
漏洞復現
影響版本
Apache Hertbeat < 1.6.0
解決方案
一、官方修復方案
目前官方已有可更新版本，建議受影響用戶升級至最新版本:
Apache Hertbeat >= 1.6.0
官方下載地址：
https://hertzbeat.apache.org/zh-cn/docs/download/
二、啟明星辰解決方案
1、啟明星辰檢測類產品方案
天闐入侵檢測與管理系統（IDS）、天闐超融合檢測探針（CSP）、天闐威脅分析一體機（TAR）、天清WEB安全應用網關（WAF）升級到20240927版本事件庫，天清入侵防御系統（IPS）升級到最新版本事件庫，即可有效檢測或防護該漏洞造成的攻擊風險。事件庫下載地址：
https://venustech.download.venuscloud.cn/
2、啟明星辰終端產品方案
天珣終端安全一體化（EDR）提供漏洞的專項驗證檢查能力可對漏洞駐留終端進行全網同步驗證，同時實時監控并告警異常子父進程、監控主機異常外連檢測，預防漏洞攻擊風險。
3、啟明星辰漏掃產品方案
（1）“啟明星辰漏洞掃描系統V6.0”產品已支持對該漏洞進行掃描。
（2）啟明星辰漏洞掃描系統608X系列版本已支持對該漏洞進行掃描。
4、啟明星辰資產與脆弱性管理平臺產品方案
啟明星辰資產與脆弱性管理平臺實時采集并更新情報信息，對入庫資產漏洞Apache HertzBeat SnakeYaml反序列化漏洞（CVE-2024-42323）進行管理。
5、啟明星辰安全管理和態勢感知平臺產品方案
用戶可以通過泰合安全管理和態勢感知平臺，進行關聯策略配置，結合實際環境中系統日志和安全設備的告警信息進行持續監控，從而發現“Apache HertzBeat SnakeYaml反序列化漏洞（CVE-2024-42323）”的漏洞利用攻擊行為。
（1）在泰合的平臺中，通過脆弱性發現功能針對“Apache HertzBeat SnakeYaml反序列化漏洞（CVE-2024-42323）”漏洞掃描任務，排查管理網絡中受此漏洞影響的重要資產。
（2）平臺“關聯分析”模塊中，添加“L2_Apache HertzBeat SnakeYaml反序列化漏洞”，通過啟明星辰檢測設備、目標主機系統等設備的告警日志，發現外部攻擊行為。
通過分析規則自動將"L2_Apache HertzBeat SnakeYaml反序列化漏洞"漏洞利用的可疑行為源地址添加到觀察列表“高風險連接”中，作為內部情報數據使用。
（3）添加“L3_Apache HertzBeat SnakeYaml反序列化漏洞”，條件日志名稱等于或包含“L2_Apache HertzBeat SnakeYaml反序列化漏洞”，攻擊結果等于“攻擊成功”，目的地址引用資產漏洞或源地址匹配威脅情報，從而提升關聯規則的置信度。
京公網安備11010802024551號