{"id":102661,"date":"2021-12-19T03:36:43","date_gmt":"2021-12-19T01:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/eshhyo-odna-uyazvimost-v-log4j-2-problemy-v-log4j-zatragivayut-8-maven-paketov"},"modified":"2021-12-19T03:36:43","modified_gmt":"2021-12-19T01:36:45","slug":"eshhyo-odna-uyazvimost-v-log4j-2-problemy-v-log4j-zatragivayut-8-maven-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/eshhyo-odna-uyazvimost-v-log4j-2-problemy-v-log4j-zatragivayut-8-maven-paketov","title":{"rendered":"Endnu en s\u00e5rbarhed i Log4j 2. Problemerne i Log4j ber\u00f8rer 8% af Maven-pakkerne.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I Log4j 2-biblioteket er der opdaget en ny s\u00e5rbarhed (CVE-2021-45105), som i mods\u00e6tning til de to tidligere problemer er kategoriseret som farlig, men ikke kritisk. Det nye problem kan for\u00e5rsage en tjenesten\u00e6gtelse og viser sig som en uendelig loop og nedbrud ved behandling af bestemte strenge. S\u00e5rbarheden er blevet rettet i den udgave af Log4j 2.17, der blev offentliggjort for f\u00e5 timer siden. Faren ved s\u00e5rbarheden mindskes af, at problemet kun viser sig p\u00e5 systemer med Java 8. <\/p>\n
Systemer, der anvender kontekstbaserede foresp\u00f8rgsler (Context Lookup) som ${ctx:var} til at bestemme log format, er s\u00e5rbare. I versioner af Log4j fra 2.0-alpha1 til 2.16.0 manglede der beskyttelse mod ukontrolleret rekursion, hvilket gjorde det muligt for en angriber at manipulere v\u00e6rdien, der blev brugt til substitution, hvilket f\u00f8rte til en uendelig l\u00f8kke, der resulterede i opbrug af stack plads og nedbrud af processen. Problemet opstod is\u00e6r ved substitution af v\u00e6rdier som «${${::-${::-$${::-j}}}}». <\/p>\n
Derudover kan det n\u00e6vnes, at forskere fra Blumira har foresl\u00e5et en angrebsmetode mod s\u00e5rbare Java-applikationer, der ikke accepterer eksterne netv\u00e6rksanmodninger; for eksempel kan systemer, der ejes af udviklere eller brugere af Java-applikationer, angribes p\u00e5 denne m\u00e5de. Metodens essens er, at hvis systemet har s\u00e5rbare Java-processer, der kun accepterer netv\u00e6rksforbindelser fra localhost, eller behandler RMI-anmodninger (Remote Method Invocation, port 1099), kan angrebet udf\u00f8res med JavaScript-kode, der aktiveres ved at \u00e5bne en skadelig webside i browseren for brugerne. For at etablere en forbindelse til netv\u00e6rksporten af Java-applikationen ved en s\u00e5dan angreb anvendes WebSocket API, som, i mods\u00e6tning til HTTP-anmodninger, ikke er underlagt same-origin-politikker (WebSocket kan ogs\u00e5 bruges til at scanne netv\u00e6rksporte p\u00e5 localhost for at identificere eksisterende netv\u00e6rksh\u00e5ndterere).
<\/center> <\/p>\n
Google har ogs\u00e5 offentliggjort resultaterne af deres vurdering af s\u00e5rbarheden i biblioteker med afh\u00e6ngigheder til Log4j. If\u00f8lge Google p\u00e5virker problemet 8% af alle pakker i Maven Central-arkivet. Specifikt viste det sig, at 35863 Java-pakker relateret til Log4j var s\u00e5rbare gennem direkte og indirekte afh\u00e6ngigheder. Log4j anvendes kun som en direkte f\u00f8rste niveau afh\u00e6ngighed i 17% af tilf\u00e6ldene, mens 83% af de ber\u00f8rte pakker f\u00e5r forbindelsen via mellemledspakker, der er afh\u00e6ngige af Log4j, dvs. afh\u00e6ngigheder af anden og h\u00f8jere niveau (21% - andet niveau, 12% - tredje, 14% - fjerde, 26% - femte, 6% - sjette). Hastigheden p\u00e5 at rette denne s\u00e5rbarhed er endnu ikke tilfredsstillende; en uge efter opdagelsen er problemet kun rettet i 4620 ud af 35863 identificerede pakker, hvilket svarer til 13%.
<\/center> <\/p>\n
Imens har det amerikanske Cybersecurity and Infrastructure Security Agency udgivet en hastende direktiv, der p\u00e5l\u00e6gger f\u00f8derale agenturer at identificere informationssystemer, der er s\u00e5rbare over for Log4j, og installere opdateringer, der blokerer for problemet inden den 23. december. Inden den 28. december skal organisationer indgive rapporter om det udf\u00f8rte arbejde. For at lette identificeringen af de problematiske systemer er der udarbejdet en liste over produkter, hvor s\u00e5rbarheden er bekr\u00e6ftet (listen indeholder over 23.000 applikationer). \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Endnu](\"\/wp-content\/uploads\/2021\/12\/811931e8c3ae3f3f3c2e81db361034e6.jpg\")
<\/center> <\/p>\n![\"Endnu](\"\/wp-content\/uploads\/2021\/12\/1e61b09923c7e055fa635545f1b3de6b.jpg\")
<\/center> <\/p>\n