Log4j 2 માં અન્ય નબળાઈ. Log4j માં સમસ્યાઓ 8% મેવેન પેકેજોને અસર કરે છે

Log4j 2 લાઇબ્રેરી (CVE-2021-45105) માં અન્ય નબળાઈ ઓળખવામાં આવી છે, જે અગાઉની બે સમસ્યાઓથી વિપરીત, ખતરનાક તરીકે વર્ગીકૃત કરવામાં આવી છે, પરંતુ ગંભીર નથી. નવો મુદ્દો તમને સેવાને નકારવા માટે પરવાનગી આપે છે અને અમુક રેખાઓ પર પ્રક્રિયા કરતી વખતે લૂપ્સ અને ક્રેશના સ્વરૂપમાં પોતાને પ્રગટ કરે છે. થોડા કલાકો પહેલા રીલીઝ થયેલ Log4j 2.17 રીલીઝમાં નબળાઈને ઠીક કરવામાં આવી હતી. નબળાઈનો ભય એ હકીકત દ્વારા ઘટાડી શકાય છે કે સમસ્યા ફક્ત Java 8 સાથેની સિસ્ટમો પર જ દેખાય છે.

લૉગ આઉટપુટ ફોર્મેટ નક્કી કરવા માટે, ${ctx:var} જેવા સંદર્ભિત પ્રશ્નો (સંદર્ભ લુકઅપ) નો ઉપયોગ કરતી સિસ્ટમોને નબળાઈ અસર કરે છે. 4-alpha2.0 થી 1 સુધીના Log2.16.0j વર્ઝનમાં અનિયંત્રિત પુનરાવર્તન સામે રક્ષણનો અભાવ હતો, જેણે હુમલાખોરને લૂપ બનાવવા માટે અવેજીમાં ઉપયોગમાં લેવાતા મૂલ્યમાં ચાલાકી કરવાની મંજૂરી આપી હતી, જે સ્ટેક સ્પેસ અને ક્રેશ થવા તરફ દોરી જાય છે. ખાસ કરીને, "${${::-${::-$${::-j}}}}" જેવા મૂલ્યોને બદલતી વખતે સમસ્યા આવી.

વધુમાં, તે નોંધી શકાય છે કે બ્લુમિરાના સંશોધકોએ નબળા જાવા એપ્લિકેશનો પર હુમલો કરવાનો વિકલ્પ પ્રસ્તાવિત કર્યો છે જે બાહ્ય નેટવર્ક વિનંતીઓને સ્વીકારતી નથી; ઉદાહરણ તરીકે, વિકાસકર્તાઓની સિસ્ટમ્સ અથવા Java એપ્લિકેશન્સના વપરાશકર્તાઓ પર આ રીતે હુમલો કરી શકાય છે. પદ્ધતિનો સાર એ છે કે જો વપરાશકર્તાની સિસ્ટમ પર સંવેદનશીલ જાવા પ્રક્રિયાઓ હોય કે જે ફક્ત સ્થાનિક હોસ્ટ પાસેથી જ નેટવર્ક કનેક્શન સ્વીકારે છે, અથવા RMI વિનંતીઓ પર પ્રક્રિયા કરે છે (રિમોટ મેથડ ઇન્વોકેશન, પોર્ટ 1099), તો હુમલો જાવાસ્ક્રિપ્ટ કોડ દ્વારા કરવામાં આવી શકે છે. જ્યારે વપરાશકર્તાઓ તેમના બ્રાઉઝરમાં દૂષિત પૃષ્ઠ ખોલે છે. આવા હુમલા દરમિયાન જાવા એપ્લિકેશનના નેટવર્ક પોર્ટ સાથે કનેક્શન સ્થાપિત કરવા માટે, WebSocket API નો ઉપયોગ કરવામાં આવે છે, જેના પર, HTTP વિનંતીઓથી વિપરીત, સમાન-મૂળના પ્રતિબંધો લાગુ થતા નથી (વેબસોકેટનો ઉપયોગ સ્થાનિક પર નેટવર્ક પોર્ટ્સને સ્કેન કરવા માટે પણ થઈ શકે છે. ઉપલબ્ધ નેટવર્ક હેન્ડલર્સ નક્કી કરવા માટે હોસ્ટ).

Log4j અવલંબન સાથે સંકળાયેલ લાઇબ્રેરીઓની નબળાઈનું મૂલ્યાંકન કરવાના Google દ્વારા પ્રકાશિત પરિણામો પણ રસપ્રદ છે. ગૂગલના જણાવ્યા મુજબ, સમસ્યા મેવેન સેન્ટ્રલ રિપોઝીટરીના તમામ પેકેજોના 8% ને અસર કરે છે. ખાસ કરીને, પ્રત્યક્ષ અને પરોક્ષ નિર્ભરતા દ્વારા Log35863j સાથે સંકળાયેલા 4 Java પેકેજો નબળાઈઓ માટે ખુલ્લા હતા. તે જ સમયે, Log4j નો ઉપયોગ ફક્ત 17% કેસોમાં સીધા પ્રથમ-સ્તરની અવલંબન તરીકે થાય છે, અને 83% અસરગ્રસ્ત પેકેજોમાં, બાઇન્ડિંગ મધ્યવર્તી પેકેજો દ્વારા હાથ ધરવામાં આવે છે જે Log4j પર આધાર રાખે છે, એટલે કે. બીજા અને ઉચ્ચ સ્તરના વ્યસનો (21% - બીજા સ્તર, 12% - ત્રીજા, 14% - ચોથા, 26% - પાંચમા, 6% - છઠ્ઠા). નબળાઈને ઠીક કરવાની ગતિ હજુ પણ ઇચ્છિત કરવા માટે ઘણું બધું છોડી દે છે; નબળાઈ ઓળખવામાં આવ્યાના એક અઠવાડિયા પછી, 35863 ઓળખાયેલ પેકેજોમાંથી, સમસ્યાને અત્યાર સુધી માત્ર 4620માં ઠીક કરવામાં આવી છે, એટલે કે. 13% પર.

દરમિયાન, યુએસ સાયબર સિક્યુરિટી અને ઈન્ફ્રાસ્ટ્રક્ચર પ્રોટેક્શન એજન્સીએ એક કટોકટી નિર્દેશ જારી કર્યો હતો જેમાં ફેડરલ એજન્સીઓને Log4j નબળાઈથી પ્રભાવિત માહિતી સિસ્ટમોને ઓળખવા અને 23 ડિસેમ્બર સુધીમાં સમસ્યાને અવરોધિત કરતા અપડેટ્સ ઇન્સ્ટોલ કરવા જરૂરી છે. 28મી ડિસેમ્બર સુધીમાં સંસ્થાઓએ તેમના કામ અંગે જાણ કરવાની રહેશે. સમસ્યારૂપ સિસ્ટમોની ઓળખને સરળ બનાવવા માટે, નબળાઈઓ દર્શાવવા માટે પુષ્ટિ થયેલ ઉત્પાદનોની સૂચિ તૈયાર કરવામાં આવી છે (સૂચિમાં 23 હજારથી વધુ એપ્લિકેશનો શામેલ છે).

સોર્સ: opennet.ru