Log4j-ലെ മറ്റൊരു അപകടസാധ്യത 2. Log4j-ലെ പ്രശ്നങ്ങൾ Maven പാക്കേജുകളുടെ 8% ബാധിക്കുന്നു

Log4j 2 ലൈബ്രറിയിൽ (CVE-2021-45105) മറ്റൊരു അപകടസാധ്യത തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, ഇത് മുമ്പത്തെ രണ്ട് പ്രശ്നങ്ങളിൽ നിന്ന് വ്യത്യസ്തമായി അപകടകരമാണെന്ന് തരംതിരിച്ചിരിക്കുന്നു, എന്നാൽ ഗുരുതരമല്ല. പുതിയ ലക്കം നിങ്ങളെ സേവനം നിരസിക്കാൻ അനുവദിക്കുകയും ചില ലൈനുകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ ലൂപ്പുകളുടെയും ക്രാഷുകളുടെയും രൂപത്തിൽ സ്വയം പ്രത്യക്ഷപ്പെടുകയും ചെയ്യുന്നു. കുറച്ച് മണിക്കൂറുകൾക്ക് മുമ്പ് പുറത്തിറക്കിയ Log4j 2.17 റിലീസിൽ ഈ അപകടസാധ്യത പരിഹരിച്ചു. ജാവ 8 ഉള്ള സിസ്റ്റങ്ങളിൽ മാത്രമേ പ്രശ്നം ദൃശ്യമാകൂ എന്നതിനാൽ അപകടസാധ്യതയുടെ അപകടം ലഘൂകരിക്കുന്നു.

ലോഗ് ഔട്ട്‌പുട്ട് ഫോർമാറ്റ് നിർണ്ണയിക്കാൻ, ${ctx:var} പോലെയുള്ള സന്ദർഭോചിതമായ അന്വേഷണങ്ങൾ (സന്ദർഭ ലുക്ക്അപ്പ്) ഉപയോഗിക്കുന്ന സിസ്റ്റങ്ങളെ ഈ അപകടസാധ്യത ബാധിക്കുന്നു. 4-alpha2.0 മുതൽ 1 വരെയുള്ള Log2.16.0j പതിപ്പുകൾക്ക് അനിയന്ത്രിതമായ ആവർത്തനത്തിനെതിരെ സംരക്ഷണം ഇല്ലായിരുന്നു, ഇത് ഒരു ലൂപ്പിന് കാരണമാകുന്ന സബ്സ്റ്റിറ്റ്യൂഷനിൽ ഉപയോഗിച്ച മൂല്യം കൈകാര്യം ചെയ്യാൻ ആക്രമണകാരിയെ അനുവദിച്ചു, ഇത് സ്റ്റാക്ക് സ്പേസ് ശോഷണത്തിനും ക്രാഷിനും ഇടയാക്കുന്നു. പ്രത്യേകിച്ചും, "${${::-${::-$${::-j}}}}" പോലുള്ള മൂല്യങ്ങൾ മാറ്റിസ്ഥാപിക്കുമ്പോൾ പ്രശ്നം സംഭവിച്ചു.

കൂടാതെ, ബ്ലൂമിറയിൽ നിന്നുള്ള ഗവേഷകർ ബാഹ്യ നെറ്റ്‌വർക്ക് അഭ്യർത്ഥനകൾ സ്വീകരിക്കാത്ത ദുർബലമായ ജാവ ആപ്ലിക്കേഷനുകളെ ആക്രമിക്കാനുള്ള ഒരു ഓപ്ഷൻ നിർദ്ദേശിച്ചതായി ശ്രദ്ധിക്കാവുന്നതാണ്; ഉദാഹരണത്തിന്, ഡെവലപ്പർമാരുടെയോ ജാവ ആപ്ലിക്കേഷനുകളുടെ ഉപയോക്താക്കളുടെയോ സിസ്റ്റങ്ങളെ ഈ രീതിയിൽ ആക്രമിക്കാൻ കഴിയും. ലോക്കൽ ഹോസ്റ്റിൽ നിന്ന് മാത്രം നെറ്റ്‌വർക്ക് കണക്ഷനുകൾ സ്വീകരിക്കുന്ന, അല്ലെങ്കിൽ RMI അഭ്യർത്ഥനകൾ (റിമോട്ട് മെത്തേഡ് ഇൻവോക്കേഷൻ, പോർട്ട് 1099) പ്രോസസ്സ് ചെയ്യുന്ന ദുർബലമായ ജാവ പ്രോസസ്സുകൾ ഉപയോക്താവിന്റെ സിസ്റ്റത്തിൽ ഉണ്ടെങ്കിൽ, ജാവാസ്ക്രിപ്റ്റ് കോഡ് ഉപയോഗിച്ച് ആക്രമണം നടത്താം എന്നതാണ് രീതിയുടെ സാരം. ഉപയോക്താക്കൾ അവരുടെ ബ്രൗസറിൽ ഒരു ക്ഷുദ്ര പേജ് തുറക്കുമ്പോൾ. അത്തരമൊരു ആക്രമണ സമയത്ത് ഒരു ജാവ ആപ്ലിക്കേഷന്റെ നെറ്റ്‌വർക്ക് പോർട്ടിലേക്ക് ഒരു കണക്ഷൻ സ്ഥാപിക്കുന്നതിന്, വെബ്‌സോക്കറ്റ് API ഉപയോഗിക്കുന്നു, HTTP അഭ്യർത്ഥനകളിൽ നിന്ന് വ്യത്യസ്തമായി, സമാന-ഒറിജിൻ നിയന്ത്രണങ്ങൾ ബാധകമല്ല (പ്രാദേശിക നെറ്റ്‌വർക്ക് പോർട്ടുകൾ സ്കാൻ ചെയ്യാനും WebSocket ഉപയോഗിക്കാം. ലഭ്യമായ നെറ്റ്‌വർക്ക് ഹാൻഡ്‌ലറുകൾ നിർണ്ണയിക്കാൻ ഹോസ്റ്റ്).

Log4j ഡിപൻഡൻസികളുമായി ബന്ധപ്പെട്ട ലൈബ്രറികളുടെ അപകടസാധ്യത വിലയിരുത്തുന്നതിന് Google പ്രസിദ്ധീകരിച്ച ഫലങ്ങളും താൽപ്പര്യമുള്ളതാണ്. ഗൂഗിൾ പറയുന്നതനുസരിച്ച്, മാവൻ സെൻട്രൽ ശേഖരത്തിലെ എല്ലാ പാക്കേജുകളുടെയും 8% ഈ പ്രശ്നം ബാധിക്കുന്നു. പ്രത്യേകിച്ചും, പ്രത്യക്ഷവും പരോക്ഷവുമായ ഡിപൻഡൻസികൾ വഴി Log35863j-മായി ബന്ധപ്പെട്ട 4 ജാവ പാക്കേജുകൾ കേടുപാടുകൾക്ക് വിധേയമായി. അതേസമയം, 4% കേസുകളിൽ മാത്രമേ Log17j നേരിട്ടുള്ള ഫസ്റ്റ്-ലെവൽ ഡിപൻഡൻസിയായി ഉപയോഗിക്കൂ, 83% ബാധിത പാക്കേജുകളിൽ, Log4j-നെ ആശ്രയിക്കുന്ന ഇന്റർമീഡിയറ്റ് പാക്കേജുകളിലൂടെയാണ് ബൈൻഡിംഗ് നടത്തുന്നത്, അതായത്. രണ്ടാമത്തെയും ഉയർന്ന തലത്തിലെയും ആസക്തികൾ (21% - രണ്ടാം നില, 12% - മൂന്നാമത്, 14% - നാലാമത്, 26% - അഞ്ചാമത്, 6% - ആറാം). കേടുപാടുകൾ പരിഹരിക്കുന്നതിനുള്ള വേഗത ഇനിയും പ്രതീക്ഷിക്കേണ്ടതായിട്ടുണ്ട്; അപകടസാധ്യത തിരിച്ചറിഞ്ഞ് ഒരാഴ്ച കഴിഞ്ഞിട്ടും, തിരിച്ചറിഞ്ഞ 35863 പാക്കേജുകളിൽ, ഇതുവരെ 4620 പാക്കേജുകളിൽ മാത്രമാണ് പ്രശ്നം പരിഹരിച്ചത്, അതായത്. 13% ൽ.

അതിനിടെ, യുഎസ് സൈബർ സെക്യൂരിറ്റി ആൻഡ് ഇൻഫ്രാസ്ട്രക്ചർ പ്രൊട്ടക്ഷൻ ഏജൻസി ഒരു അടിയന്തര നിർദ്ദേശം പുറപ്പെടുവിച്ചു, ഫെഡറൽ ഏജൻസികൾ Log4j അപകടസാധ്യത ബാധിച്ച ഇൻഫർമേഷൻ സിസ്റ്റങ്ങൾ തിരിച്ചറിയാനും ഡിസംബർ 23-നകം പ്രശ്നം തടയുന്ന അപ്‌ഡേറ്റുകൾ ഇൻസ്റ്റാൾ ചെയ്യാനും ആവശ്യപ്പെടുന്നു. ഡിസംബർ 28-നകം, സംഘടനകൾ അവരുടെ പ്രവർത്തനങ്ങളെക്കുറിച്ച് റിപ്പോർട്ട് ചെയ്യണം. പ്രശ്നമുള്ള സിസ്റ്റങ്ങളുടെ തിരിച്ചറിയൽ ലളിതമാക്കുന്നതിന്, കേടുപാടുകൾ കാണിക്കുമെന്ന് സ്ഥിരീകരിച്ച ഉൽപ്പന്നങ്ങളുടെ ഒരു ലിസ്റ്റ് തയ്യാറാക്കിയിട്ടുണ്ട് (ലിസ്റ്റിൽ 23 ആയിരത്തിലധികം ആപ്ലിക്കേഷനുകൾ ഉൾപ്പെടുന്നു).

അവലംബം: opennet.ru