🥇17 Apache projekti olid mõjutatud Log4j 2 haavatavusest

Apache Software Foundation avaldas kokkuvõtte projektidest, mida mõjutab Log4j 2 kriitiline turvaviga, mis võimaldab serveris käivitada pahatahtlikku koodi. Probleem tekitab muret järgmistes Apache projektides: Archiva, Druid, EventMesh, Flink, Fortress, Geode, Hive, JMeter, Jena, JSPWiki, OFBiz, Ozone, SkyWalking, Solr, Struts, TrafficControl ja Calcite Avatica. Turvaviga on mõjutanud ka GitHubi tooteid, sealhulgas GitHub.com, GitHub Enterprise Cloud ja GitHub Enterprise Server.

Apache projektid, mida Log4j 2 turvaviga ei mõjuta: Apache Iceberg, Guacamole, Hadoop, Log4Net, Spark, Tomcat, ZooKeeper ja CloudStack.

Probleemsete pakettide kasutajatele soovitatakse kiiresti installida neile välja antud uuendused, eraldi uuendada Log4j 2 versioon või sättida Log4j2.formatMsgNoLookups väärtuseks true (näiteks lisades käivitamisel võtme „-DLog4j2.formatMsgNoLookup=True”). Turvaaugu blokeerimiseks süsteemides, millele pole otsest juurdepääsu, on soovitatud exploiti-vaktsiini Logout4Shell, mis rünnaku kaudu seadistab Java seaded „log4j2.formatMsgNoLookups = true”, „com.sun.jndi.rmi.object.trustURLCodebase = false” ja „com.sun.jndi.cosnaming.object.trustURLCodebase = false”, et takistada turvaviga edasist ilmnemist kontrollimise alt väljas olevates süsteemides.

Viimastel päevadel on täheldatud olulist aktiivsuse tõusu, mis on seotud turvavea ära kasutamisega. Näiteks on ettevõte Check Point registreerinud oma andmetes umbes 100 ekspluateerimise katset minutis, samas kui ettevõte Sophos teatas, et on tuvastanud uue botivõrgu krüptoraha kaevandamiseks, mis on moodustatud süsteemidest, millel on Log4j 2 parandamata turvaviga. serverites Turvaviga on kinnitatud paljudes ametlikes Docker'i piltides, sealhulgas piltides couchbase, elasticsearch, flink, solr, storm jne.

Täiendamine:

Turvaviga esineb MongoDB Atlas Search tootes.
Probleem ilmneb erinevates Cisco toodetes, sealhulgas Cisco Webex Meetings Server, Cisco CX Cloud Agent, Cisco Advanced Web Security Reporting, Cisco Firepower Threat Defense (FTD), Cisco Identity Services Engine (ISE), Cisco CloudCenter, Cisco DNA Center, Cisco BroadWorks jne.
Probleem esineb IBM WebSphere Application Server'is ning järgnevates Red Hati toodetes: OpenShift, OpenShift Logging, OpenStack Platform, Integration Camel, CodeReady Studio, Data Grid, Fuse ja AMQ Streams.
Probleem on kinnitatud Junos Space Network Management Platform, Northstar Controller/Planner, Paragon Insights/Pathfinder/Planner'i tootes.
Turvaauke on samuti palju Oracle'i, VMware'i, Broadcomi ja Amazon'i toodetes.
Chrome'i uuendus 96.0.4664.110, mis kõrvaldab kriitilised ja 0-day turvaaugud.

Allikas: opennet.ru

17 Apache projekti on mõjutatud Log4j 2 turvaaugust.