攻击者正积极利用一个已知漏洞破坏JBoss Java EE应用服务器的数据安全，这些应用服务器以非安全方式向互联网曝露了HTTP调用服务。

    十月初，安全研究员在多家厂商使用4.X和5.X JBoss的产品中发现了一个漏洞并将之发布。黑客可以利用该漏洞（CVE-2013-4810）在曝露了EJBInvokerServlet或JMXInvokerServlet上JBoss部署上安装一个任意应用。

    该研究员利用该漏洞安装了一个名改为pwn.jsp的Web Shell应用，该应用可通过HTTP请求在操作系统上执行Shell命令。可以通过OS的用户身份许可从而运行JBoss，而在一些JBoss部署案例中，甚至可以拥有较高的权限，如管理员。

    同时来自另一家安全公司的研究员最近检测到针对JBoss服务器的攻击有所增加，这些攻击利用Micalizzi所说的漏洞安装了原始的pwn.jsp shell，不仅如此还有更复杂的名为JspSpy的 Web Shell。

    在JBoss服务器上运行的200多个站点，包括那些隶属于政府和大学的站点，都被这些Web Shell应用入侵和感染。

    实际情况更为严重，因为安全员所指的漏洞源自不安全的默认配置，这些配置使得JBoss管理界面和调用程序暴露在未经验证的攻击之下，这一问题已经存在多年了。

    2011年，在一份关于JBoss因安装不当被黑的报告中，Matasano Security的安全研究员在谷歌搜索的基础上估计约有7300台有潜在漏洞服务器。

    据业内人士透露，管理界面暴露到互联网的JBoss数量翻了三倍，达到了23000。这种增长的原因之一或许是人们完全了解与此问题相关的风险，不过却一直以不安全的方式部署安装JBoss。

    由IT厂商的软件漏洞引发的数据安全问题将成为今后信息安全的主流隐患。同时伴随互联网的普及，危险的传播速度和数量也将不断提高。面对这种情况，对于敏感和机密数据采用更具针对性的加密软件进行防护或是或是一种不错的选择。

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。