פגיעות נוספת ב-Log4j 2. בעיות ב-Log4j משפיעות על 8% מחבילות Maven

פגיעות נוספת זוהתה בספריית Log4j 2 (CVE-2021-45105), שבניגוד לשתי הבעיות הקודמות, מסווגת כמסוכנת, אך לא קריטית. הגיליון החדש מאפשר לך לגרום למניעת שירות ומתבטא בצורה של לולאות וקריסות בעת עיבוד קווים מסוימים. הפגיעות תוקנה במהדורת Log4j 2.17 שפורסמה לפני מספר שעות. הסכנה של הפגיעות מופחתת על ידי העובדה שהבעיה מופיעה רק במערכות עם Java 8.

הפגיעות משפיעה על מערכות המשתמשות בשאילתות הקשריות (Context Lookup), כגון ${ctx:var}, כדי לקבוע את פורמט הפלט של היומן. גרסאות Log4j מ-2.0-alpha1 עד 2.16.0 חסרות הגנה מפני רקורסיה בלתי מבוקרת, מה שאפשר לתוקף לתמרן את הערך המשמש בהחלפה כדי לגרום ללולאה, מה שהוביל למיצוי שטח המחסנית ולקריסה. בפרט, הבעיה התרחשה בעת החלפת ערכים כגון "${${::-${::-$${::-j}}}}".

בנוסף, ניתן לציין כי חוקרים מ-Blumira הציעו אפשרות לתקוף אפליקציות Java פגיעות שאינן מקבלות בקשות רשת חיצוניות, למשל ניתן לתקוף מערכות של מפתחים או משתמשי יישומי Java בצורה זו. המהות של השיטה היא שאם קיימים תהליכי Java פגיעים במערכת של המשתמש המקבלים חיבורי רשת רק מהמארח המקומי, או מעבדים בקשות RMI (Remote Method Invocation, יציאה 1099), ניתן לבצע את ההתקפה באמצעות קוד JavaScript המופעל כאשר משתמשים פותחים דף זדוני בדפדפן שלהם. כדי ליצור חיבור ליציאת הרשת של אפליקציית Java במהלך התקפה כזו, נעשה שימוש ב-WebSocket API, שבניגוד לבקשות HTTP, לא מוחלות הגבלות על אותו מקור (ניתן להשתמש ב-WebSocket גם לסריקת יציאות רשת על הרשת המקומית מארח על מנת לקבוע מטפלי רשת זמינים).

מעניינות גם התוצאות שפורסמה על ידי גוגל להערכת הפגיעות של ספריות הקשורות לתלות ב-Log4j. לפי גוגל, הבעיה משפיעה על 8% מכל החבילות במאגר המרכזי של Maven. בפרט, 35863 חבילות Java המשויכות ל-Log4j באמצעות תלות ישירה ועקיפה נחשפו לפגיעויות. יחד עם זאת, Log4j משמש כתלות ישירה ברמה ראשונה רק ב-17% מהמקרים, וב-83% מהחבילות המושפעות, הקישור מתבצע באמצעות חבילות ביניים התלויות ב-Log4j, כלומר. התמכרויות מהרמה השנייה ומעלה (21% - רמה שנייה, 12% - שלישית, 14% - רביעית, 26% - חמישית, 6% - שישית). קצב תיקון הפגיעות עדיין משאיר הרבה מה לרצות; שבוע לאחר זיהוי הפגיעות, מתוך 35863 חבילות שזוהו, הבעיה תוקנה עד כה רק ב-4620, כלומר. ב-13%.

בינתיים, הסוכנות האמריקאית לאבטחת סייבר ותשתיות הוציאה הוראת חירום המחייבת סוכנויות פדרליות לזהות מערכות מידע המושפעות מהפגיעות של Log4j ולהתקין עדכונים שחוסמים את הבעיה עד ה-23 בדצמבר. עד 28 בדצמבר, ארגונים נדרשים לדווח על עבודתם. כדי לפשט את הזיהוי של מערכות בעייתיות, הוכנה רשימה של מוצרים שאושרו להפגין פרצות (הרשימה כוללת יותר מ-23 אלף אפליקציות).

מקור: OpenNet.ru