Apache Commons Compress拒绝服务漏洞 CVE-2021-35515

ApacheCommonsCompress的CVE-2021-35515：Java库中的7z无限循环拒绝服务漏洞,
最新推荐文章于 2024-08-08 18:30:27 发布
原创 最新推荐文章于 2024-08-08 18:30:27 发布 · 916 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#安全

这篇文章详细描述了ApacheCommonsCompress库中的CVE-2021-35515漏洞，该漏洞源于处理特定构造的7z压缩文件时的无限循环，可能导致拒绝服务攻击。漏洞影响版本为1.6至1.20，建议升级到1.20以上版本以修复。

0x01 概述

Apache Commons Compress 是一个 Java 库，旨在提供用于压缩和解压缩各种压缩格式的功能。它是 Apache 软件基金会的一个项目，为 Java 开发人员提供了处理压缩文件和流的通用接口和工具。

笔者通过对数百个真实项目引入组件的分析选出了Commons Compress组件的常见漏洞进行分析。本次分析的是CVE-2021-35515，Commons Compress对7z压缩文件解压时造成的无限循环漏洞。

0x02 组件使用场景

Apache Commons Compress 是一个功能强大的 Java 库，专注于处理多种压缩格式，包括 ZIP、Tar、GZIP、BZIP2、XZ 等，适用于文件压缩、解压缩、数据存档、网络通信等多个场景。无论是创建自定义的压缩工具、优化数据传输速度，还是在有限存储空间下进行资源压缩，该库提供了一致的 API 和工具，方便开发人员处理不同压缩格式的需求，从而节省存储空间、提高效率，并简化数据处理过程。

0x03 漏洞信息

3.1 漏洞简介

漏洞名称：拒绝服务漏洞

漏洞编号：CVE-2021-35515

漏洞类型：CWE-835 无限循环

CVSS评分：CVSS v3.1：7.5

漏洞危害等级：高危

3.2 漏洞概述

当读取一个特别精心构造的7Z压缩文件时，解压缩条目的编解码器列表的构建可能会导致无限循环<

最低0.47元/天 解锁文章
Apache Commons-Configuration2 堆栈溢出漏洞复现 (CVE-2024-29131)
m0_50797689的博客
03-21 1659
Apache Commons-Configuration2 堆栈溢出漏洞复现 (CVE-2024-29131)
Apache Commons Compress内存耗尽漏洞 CVE-2021-35516
INSBUG的博客
10-13 1011
随后的0x05标识了这是一个FilesInfo，后面的UINT64标识长度，但是可以发现268435455对应的是0xFFFFFF而不是0xFFFFFFEF，这个原因是因为在7z中UINT和REAL UINT是不同的，这里由于E是0x1110，所以根据以下算法，其int之为0xFFFFFFF，正好对上十进制结果268435455。其补丁对文件的内容进行了合法性检查，并且在修复文档中表示readFilesInfo使用了惰性延迟分配以避免出现内存不足的问题，但是仍不能具体找到漏洞的触发点。构造测试代码，执行。
安卓拒绝服务漏洞分析及漏洞检测
weixin_34216196的博客
09-18 257
　　“超级拒绝服务漏洞”是一个安卓通用型拒绝服务漏洞，恶意***者可能利用此漏洞让手机中的任意应用崩溃无法正常工作，几乎影响目前市面上所有的安卓APP应用。　　漏洞分析：　　0xr0ot和Xbalien交流所有可能导致应用拒绝服务的异常类型时，发现了一处通用的本地拒绝服务漏洞。该通用型本地拒绝服务可以造成大面积的app拒绝服务。　　针对序列化对象而出现的拒绝服务主要是由于应用...
漏洞之拒绝服务
任浩的博客
12-16 1842
定义：拒绝服务呢是指通过大量的垃圾信息或干扰信息的方法，导致服务器无法向正常用户提供服务的现象 基本原理：利用用户的域名向数以千计的服务器发送请求，由于返回目标的数据远远大于请求的数据，数据过于庞大， 解析时间过短，以至于遭受到DDOS攻击，，被利用域名的服务器也至于受到瘫痪的状态 攻击原理：利用域名解析，使其服务器无法正常的运行，拒绝正常的接入 修补建议： 1、服务器请求验证时需要验证DNS用户身份 2、防火墙防御。防火墙是防御DoS攻击最有效的方法。很多厂商的防火墙都注入了专 门针对DoS攻击的功能。防
拒绝服务攻击（SMBloris 漏洞）
weixin_50904074的博客
01-30 1059
如果 Microsoft Windows7、Windows8、Windows Server2008。or Windows Server 2012 正在运行了存在 MS15-034 漏洞的 IIS。在进行 SMBloris拒绝服务攻击之前，要先设置攻击机的最大连接数。MS15-034 HTTP 协议栈请求处理拒绝服务攻击。使用 smb_loris 模块来攻击目标机机器。服务，那么可以利用这个漏洞导致目标服务器崩溃。
Web下的拒绝服务漏洞(DoS)
yggcwhat
09-29 2831
Web下的拒绝服务漏洞(DoS)
win3拒绝服务漏洞
jiebuchuzhong的博客
03-31 269
实验环境：win3 kali 实验步骤 1、先把win3和kali都可以上网且在统一网段 2、相互ping 2、在kali打开wireshark 向win3发送指令 Wireshark获取 此时的win3任务管理器 4、在kali输入命令 再回到win3 此时的cpu使用率增加 ...
CVE-2021-25646-Apache Druid漏洞POC.py
02-26
CVE-2021-25646-Apache Druid漏洞POC.py
腾讯云修复Sudo 本地提权漏洞(CVE-2021-3156)记录
雪野Solye的博客
07-12 644
今天腾讯云突然给我发消息说存在漏洞，因为我昨天重置了一下系统，使用镜像系统安装了宝塔和wordpress，然后就突然出现漏洞了，这样看来，刚买的时候应该是把一些漏洞什么的都给你解决了，重置系统后可能由于版本问题就没有修复漏洞。 漏洞描述 国外研究团队发现sudo堆溢出漏洞（CVE-2021-3156），漏洞隐藏十年之久，普通用户可以通过利用此漏洞，在默认配置的 sudo 主机上获取root权限。漏洞细节已在互联网上公开，腾讯安全专家提醒linux系统管理员尽快修复。 Sudo是一个功能强大的实用程序，大多数
短信拒绝服务漏洞
freemindh的专栏
10-24 620
趋势科技日前再次发现两个有关Android系统自带短信应用的漏洞，第一个漏洞（CVE-2015-3839）可能允许攻击者插入恶意消息到系统短信箱中导致其崩溃，造成用户无法发送和接收短信，第二个漏洞（CVE-2015-3840)可以伪造短信的发送和接收状态，可能导致用户重复发送短信增加话费。不同于之前的Android Stagefright和Mediaserver组件漏洞，新漏洞瞄准的是Androi
EPoD: 以太坊Geth客户端拒绝服务漏洞 (CVE-2018-12018)
Fly_鹏程万里
07-15 1056
迄今为止，PeckShield发现了很多严重的智能合约漏洞。除了智能合同外，以太坊生态系统还包括其他各种可能受到攻击的组件。显然，一个这样的组件是以太坊的核心，也就是每个以太坊节点上运行的底层客户端软件。如果攻击者使某个以太坊客户端/节点崩溃，那么此客户端/节点提供的计算能力也随之消失。如果大量以太坊的客户/节点突然间断线，他们相应的计算能力可能会立即失效，从而严重干扰以太坊的整个运营。在撰写本文...
Android 安全 —— 本地拒绝服务漏洞
Star丶Xing
03-04 1192
概述 Activity / Service / BroadcastReceiver / ContentProvider 的 export 设置为 true 时，攻击者可以向这些组件发送畸形 Intent 。 &amp;lt;activity android:name=&quot;.demo.DemoActivity&quot; android:export=&quot;true&quot; .... 危害 攻击者可以轻易地向A...
【代码扫描修复】DoS 拒绝服务漏洞
ACGkaka的博客
11-18 1724
如果应用程序存在 Denial Of Service（DoS）漏洞，攻击者就能阻止合法用户访问由该应用程序提供的服务。攻击者可能通过对应用程序发送大量请求，而使它拒绝对合法用户的服务，但是这种攻击形式经常会在网络层就被排除掉了。导致出现很多问题的原因之一是资源释放不当的 bug，这种 bug 会导致应用程序在运行时停止。同样的道理，当程序漏洞被利用时，服务可能会停止或者处理它使用的资源的方式。如果一项服务收到了大量的请求，那么它可能会停止向合法用户提供。修复建议：避免因流无限大，导致的死循环或内存溢出。
依赖警告：提供可传递的易受攻击的依赖项 maven:org.apache.commons:commons-compress:1.19
一起加油吧！
12-07 1525
警告1.19版本有安全漏洞，换成1.22版本就行了。
通过kail实现拒绝服务漏洞
susu1031的博客
03-30 671
实验名称：拒绝服务漏洞 实验环境：kail，windows2003 实验报告： 1、两台虚拟机在设置在同一局域网 查看ip 2、在kail系统打开wireshark 网络分析器 3、使用抓包软件 wireshark 可以用来捕获网络流量 比如打开火狐 4、可以打开一个百度 5、获取百度ip 可以ping www.baidu.com ...
拒绝服务攻击
缘友一世的博客
05-30 2467
拒绝服务攻击：攻击者通过某种手段，造成计算机或网络不能正常运转向用户提供服务或者使服务质量降低。服务(Service)：系统提供为用户服务。拒绝服务(DoS: Denial of Service)：任何使得服务可用性降低或者失去可用性的干涉。如: 计算机系统崩溃;带宽耗尽;硬盘被填满。攻击方式：消耗系统或网络资源;阻断访问路径；更改系统配置。
PHP Libgd存在拒绝服务漏洞一张GIF可能导致服务器宕机
SecGuard
02-12 2179
PHP GD Graphics Library存在拒绝服务漏洞-CVE-2018-5711（CNVD收录编号为CNVD-2018-02505），可导致服务器计算资源大量消耗，直至崩溃宕机。GD Graphics Library（libgd）是用来动态创建图像的开源图形软件库，主要用在图像验证码、头像、网络相册等方面，用户使用十分广泛。GD图形库中的gd_gif_in.c存在整数签名错误，通过特殊构...
CRLF注入漏洞、URL重定向、资源处理拒绝服务详细介绍（附实例）
ranzi.
04-26 5012
1.随便访问一个页面，这里以baidu.com为例。2.将其数据包复制一部分出来。3. 当我们在url的后面加上/search时，数据包内的GET后也会对应增加。4.当我们在其后面加入换行的符号，然后再加上host=www.xiaodi8.com，数据包下面就会多出来一行内容。5.那么此时就可能会将数据包里host标识后面的值给覆盖获取取代掉，此时就可能会发生重定向。6.这种漏洞很容易进行检测。
common-compress版本升级至1.26.0以上导出报错
weixin_45920147的博客
08-08 2594
升级到1.26.0版本，导致项目中导出excel功能出现异常、遇到的问题是导出excel内容为空。Spring boot 项目中因使用common-compress 1.25.0版本有漏洞。导出excel内容恢复正常。
Apache Commons FileUpload 和 Tomcat拒绝服务漏洞CVE-2014-0050
最新发布
08-05
Apache Commons FileUpload 是一个广泛使用的 Java 库，用于处理 HTTP 多部分表单数据（multipart/form-data），常用于 Web 应用中的文件上传功能。CVE-2014-0050 是 Apache Commons FileUpload 在版本 1.3.1 及之前版本中存在的拒绝服务（DoS）漏洞，该漏洞源于 `MultipartStream.java` 文件中对 multipart 数据流的解析逻辑缺陷。 ### 漏洞分析 该漏洞允许远程攻击者通过构造特定的 `Content-Type` 请求头，绕过解析逻辑中的循环退出条件，从而导致无限循环。无限循环会持续消耗服务器 CPU 资源，最终导致服务不可用。由于 Apache Tomcat、JBoss Web 等 Web 容器在处理文件上传时依赖 Apache Commons FileUpload，因此使用这些容器且未更新 FileUpload 库的应用程序均可能受到影响 [^2]。 ### 影响范围 - **受影响版本**：Apache Commons FileUpload ≤ 1.3.1 - **受影响产品**：Apache Tomcat、JBoss Web 等基于 FileUpload 实现文件上传功能的 Web 应用 - **攻击方式**：远程攻击者可通过构造恶意请求，触发无限循环，造成 CPU 资源耗尽和拒绝服务 ### 解决方案 为缓解该漏洞带来的风险，建议采取以下措施： 1. **升级 Apache Commons FileUpload 至 1.3.2 或以上版本** Apache 官方已在 1.3.2 版本中修复该漏洞，升级后可有效防止恶意请求导致的无限循环问题 。 2. **检查依赖库版本并更新** 对于使用 Maven 或 Gradle 构建的项目，应检查 `pom.xml` 或 `build.gradle` 文件中是否引用了旧版本的 `commons-fileupload`，并更新为最新稳定版本。 Maven 示例： ```xml <dependency> <groupId>commons-fileupload</groupId> <artifactId>commons-fileupload</artifactId> <version>1.4</version> <!-- 或更高版本 --> </dependency> ``` 3. **在 Web 容器层面限制上传请求大小** 即使未直接使用 FileUpload 库，也建议在 Tomcat 等 Web 容器中配置最大上传大小，防止恶意请求消耗过多资源。例如在 `web.xml` 中配置： ```xml <multipart-config> <max-file-size>10485760</max-file-size> <!-- 10MB --> <max-request-size>52428800</max-request-size> <!-- 50MB --> </multipart-config> ``` 4. **部署 WAF 或应用防火墙** 可通过 Web 应用防火墙（WAF）对上传请求的 `Content-Type` 进行检测，过滤异常请求，降低攻击面。 5. **定期扫描依赖项安全性** 使用如 OWASP Dependency-Check、SonarQube 等工具对项目依赖进行安全扫描，及时发现潜在漏洞。 ### 修复验证 完成修复后，建议通过构造包含异常 `Content-Type` 的测试请求验证是否仍存在无限循环问题。可使用工具如 Burp Suite 或编写单元测试模拟上传行为，观察服务响应是否正常终止且无异常资源消耗。 ---
评论
成就一亿技术人!
拼手气红包6.0元
还能输入1000个字符
 
红包 添加红包
表情包 插入表情
表情包 代码片
 条评论被折叠 查看
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值