Veel üks Log4j 2 haavatavus. Log4j probleemid mõjutavad 8% Maven-pakettidest

Log4j 2 raamatukogus tuvastati veel üks haavatavus (CVE-2021-45105), mis erineb kahest eelmisest probleemist, kuna see on klassifitseeritud ohtlikuks, kuid mitte kriitiliseks. Uus probleem võimaldab käivitada teenuse katkestamise ja avaldub spetsiifiliste stringide töötlemisel silmuste ja ootamatute lõpetamiste näol. Haavatavus on kõrvaldatud äsja avaldatud versioonis Log4j 2.17. Haavatavuse ohtu leevendab asjaolu, et probleem ilmneb ainult Java 8 süsteemides.

Haavatavused on ohustatud süsteemides, mis kasutavad logifailide vormingu määramisel kontekstipäringuid (Context Lookup), nagu ${ctx:var}. Log4j versioonides alates 2.0-alpha1 kuni 2.16.0 puudus kaitse kontrollimata rekursiooni eest, mis võimaldas ründajal, manipulatsioonide kaudu asendatavates väärtustes, põhjustada silmuseid, mis viiksid virna ületäitumiseni ja protsessi ootamatule lõpetamisele. Eriti tekkis probleem, kui kasutati selliseid asendatavaid väärtusi nagu "${${::-${::-$${::-j}}}}".

Lisaks väärib märkimist, et Blumira ettevõtte teadlased pakkusid välja rünnakumeetodi haavatavate Java-rakenduste vastu, mis ei võta vastu väliseid võrgu päringuid. Näiteks on võimalik rünnata arendajate või Java-rakenduste kasutajate süsteeme. Meetodi tuum seisneb selles, et juhul kui kasutaja süsteemis on haavatavad Java-protsessid, mis aktsepteerivad võrguühendusi ainult kohalikult (localhost) või töötlevad RMI-päringuid (Remote Method Invocation, port 1099), võib rünnaku teha JavaScripti koodiga, mis täidetakse, kui kasutajad avavad brauseris pahatahtliku lehe. Tühiku korraldamiseks Java-rakenduse võrguportiga sellise rünnaku puhul kasutatakse WebSocket API-d, mis erinevalt HTTP-päringutest ei allu same-origin piirangutele (WebSocketi saab kasutada ka lokaalse hosti võrguportide skaneerimiseks, et tuvastada olemasolevad võrgu töötlijad).

Samuti väärib tähelepanu Google'i avaldatud tulemused Log4j-iga seotud teekide haavatavuse hindamisest. Google'i andmetel puudutab probleem 8% kõigist Maven Centralis olevatest pakettidest. Täpsemalt on 35863 Java-paketti, mis on Log4j-ga seotud otseste ja kaudsete sõltuvustega, haavatavad. Log4j kasutatakse esimese astme otsese sõltuvusena vaid 17% juhtudel, samas kui 83% haavatavatest pakettidest on seotud Log4j vahenduspakettide kaudu, st teise ja kõrgema astme sõltuvused (21% - teine aste, 12% - kolmas, 14% - neljas, 26% - viies, 6% - kuues). Haavatavuse parandamise tempo jätab praegu soovida; nädal pärast haavatavuse tuvastamist on 35863 tuvastatud paketist probleem lahendatud vaid 4620 puhul, st 13%.

Vahepeal on Ameerika Ühendriikide Küberturvalisuse ja Infra- ning Tehnoloogiaministeerium välja andnud erakorralise direktiivi, mis nõuab föderaalse agentuuride tuvastamist Log4j haavatavusele allutatud teabe süsteemide osas ning nende süsteemide täiendavate uuenduste rakendamist hiljemalt 23. detsembriks. Kuni 28. detsembrini peavad organisatsioonid aru andma tehtud tööst. Probleemsete süsteemide tuvastamise lihtsustamiseks on koostatud loetelu toodetest, kus on kinnitatud haavatavuse ilmnemine (loendis on üle 23 000 rakenduse).

Allikas: opennet.ru