Log4j-ലെ മറ്റൊരു അപകടസാധ്യത 2. Log4j-ലെ പ്രശ്നങ്ങൾ Maven പാക്കേജുകളുടെ 8% ബാധിക്കുന്നു

Log4j 2 ലൈബ്രറിയിൽ ഒരു പുതിയ ദുർബലത (CVE-2021-45105) കണ്ടെത്തി. മുമ്പത്തെ രണ്ട് പ്രശ്നങ്ങളിൽ നിന്ന് വ്യത്യസ്തമായി, ഇത് അപകടകരമാണെന്ന് തരംതിരിച്ചിരിക്കുന്നു, പക്ഷേ ഗുരുതരമല്ല. ഈ പുതിയ പ്രശ്നം സേവനം നിഷേധിക്കാൻ അനുവദിക്കുന്നു, കൂടാതെ ചില സ്ട്രിംഗുകൾ പ്രോസസ്സ് ചെയ്യുമ്പോൾ ഒരു ലൂപ്പും ക്രാഷും ആയി സ്വയം പ്രത്യക്ഷപ്പെടുന്നു. കുറച്ച് മണിക്കൂറുകൾക്ക് മുമ്പ് പുറത്തിറങ്ങിയ Log4j 2.17-ൽ ദുർബലത പരിഹരിച്ചു. ജാവ 8 പ്രവർത്തിക്കുന്ന സിസ്റ്റങ്ങളെ മാത്രമേ ഇത് ബാധിക്കുകയുള്ളൂ എന്ന വസ്തുത ദുർബലതയുടെ തീവ്രത ലഘൂകരിക്കുന്നു.

ലോഗ് ഔട്ട്‌പുട്ട് ഫോർമാറ്റ് നിർണ്ണയിക്കാൻ ${ctx:var} പോലുള്ള കോൺടെക്സ്റ്റ് ലുക്കപ്പ് ക്വറികൾ (CLO-കൾ) ഉപയോഗിക്കുന്ന സിസ്റ്റങ്ങളെയാണ് ഈ ദുർബലത ബാധിക്കുന്നത്. 2.0-alpha1 മുതൽ 2.16.0 വരെയുള്ള Log4j പതിപ്പുകൾക്ക് അനിയന്ത്രിതമായ ആവർത്തനത്തിനെതിരെ സംരക്ഷണം ഇല്ലായിരുന്നു, ഇത് ഒരു ആക്രമണകാരിക്ക് പകരത്തിൽ ഉപയോഗിക്കുന്ന മൂല്യം കൈകാര്യം ചെയ്യാൻ അനുവദിച്ചു, ഇത് ഒരു ലൂപ്പിന് കാരണമാകുന്നു, ഇത് സ്റ്റാക്ക് എക്‌സ്‌ഹോഷനിലേക്കും പ്രോസസ്സ് ക്രാഷുകളിലേക്കും നയിക്കുന്നു. പ്രത്യേകിച്ചും, "${${::-${::-$${::-j}}}}" പോലുള്ള മൂല്യങ്ങൾ മാറ്റിസ്ഥാപിക്കുമ്പോഴാണ് പ്രശ്നം സംഭവിച്ചത്.

കൂടാതെ, ബാഹ്യ നെറ്റ്‌വർക്ക് അഭ്യർത്ഥനകൾ സ്വീകരിക്കാത്ത ദുർബലമായ ജാവ ആപ്ലിക്കേഷനുകളിൽ ആക്രമണം നടത്താൻ ബ്ലൂമിറയിലെ ഗവേഷകർ നിർദ്ദേശിച്ചിട്ടുണ്ട്. ഉദാഹരണത്തിന്, ജാവ ആപ്ലിക്കേഷൻ ഡെവലപ്പർമാരുടെയോ ഉപയോക്താക്കളുടെയോ സിസ്റ്റങ്ങളെ ആക്രമിക്കാൻ ഇത് ഉപയോഗിക്കാം. ലോക്കൽഹോസ്റ്റിൽ നിന്നുള്ള നെറ്റ്‌വർക്ക് കണക്ഷനുകൾ മാത്രം സ്വീകരിക്കുന്നതോ RMI അഭ്യർത്ഥനകൾ കൈകാര്യം ചെയ്യുന്നതോ ആയ ദുർബലമായ ജാവ പ്രക്രിയകൾ ഒരു ഉപയോക്താവിന്റെ സിസ്റ്റത്തിലുണ്ടെങ്കിൽ (റിമോട്ട് മെത്തേഡ് ഇൻവോക്കേഷൻ, പോർട്ട് 1099), ഉപയോക്താവ് അവരുടെ ബ്രൗസറിൽ ഒരു ക്ഷുദ്ര പേജ് തുറക്കുമ്പോൾ നടപ്പിലാക്കുന്ന ജാവാസ്ക്രിപ്റ്റ് കോഡ് ഉപയോഗിച്ച് ആക്രമണം നടത്താൻ കഴിയും എന്നതാണ് ഈ രീതിയുടെ സാരം. ജാവ ആപ്ലിക്കേഷന്റെ നെറ്റ്‌വർക്ക് പോർട്ടിലേക്ക് ഒരു കണക്ഷൻ സ്ഥാപിക്കുന്നതിന്, ഈ ആക്രമണം വെബ്‌സോക്കറ്റ് API ഉപയോഗിക്കുന്നു, ഇത് HTTP അഭ്യർത്ഥനകളിൽ നിന്ന് വ്യത്യസ്തമായി, ഒരേ ഉത്ഭവ നിയന്ത്രണങ്ങൾക്ക് വിധേയമല്ല. (നിലവിലുള്ള നെറ്റ്‌വർക്ക് ഹാൻഡ്‌ലറുകളെ തിരിച്ചറിയാൻ ലോക്കൽ ഹോസ്റ്റിലെ നെറ്റ്‌വർക്ക് പോർട്ടുകൾ സ്കാൻ ചെയ്യാനും വെബ്‌സോക്കറ്റ് ഉപയോഗിക്കാം.)

ഗൂഗിൾ പ്രസിദ്ധീകരിച്ച Log4j ഡിപൻഡൻസികളുള്ള ലൈബ്രറികളുടെ ദുർബലതാ വിലയിരുത്തലിന്റെ ഫലങ്ങളും രസകരമാണ്. ഗൂഗിൾ പറയുന്നതനുസരിച്ച്, മാവൻ സെൻട്രൽ റിപ്പോസിറ്ററിയിലെ എല്ലാ പാക്കേജുകളുടെയും 8% ഈ പ്രശ്നം ബാധിക്കുന്നു. പ്രത്യേകിച്ചും, Log4j-യെ നേരിട്ടും അല്ലാതെയും ആശ്രയിക്കുന്ന 35863 ജാവ പാക്കേജുകളെ ദുർബലത ബാധിച്ചു. 17% കേസുകളിൽ മാത്രമേ Log4j നേരിട്ടുള്ള ഫസ്റ്റ്-ലെവൽ ആശ്രിതത്വമായി ഉപയോഗിക്കുന്നുള്ളൂ, അതേസമയം 83% ദുർബല പാക്കേജുകളിൽ, Log4j-യെ ആശ്രയിക്കുന്ന ഇന്റർമീഡിയറ്റ് പാക്കേജുകളിലൂടെയാണ് ബൈൻഡിംഗ് നടത്തുന്നത്, അതായത്, രണ്ടാം-ലെവൽ, ഉയർന്ന ഡിപൻഡൻസികൾ (21% രണ്ടാം-ലെവൽ, 12% മൂന്നാം-ലെവൽ, 14% നാലാം-ലെവൽ, 26% അഞ്ചാം-ലെവൽ, 6% ആറാം-ലെവൽ). ദുർബലതാ പാച്ചിംഗിന്റെ നിരക്ക് ഇപ്പോഴും വളരെയധികം ആഗ്രഹിക്കുന്നില്ല: ദുർബലത തിരിച്ചറിഞ്ഞ് ഒരു ആഴ്ച കഴിഞ്ഞിട്ടും, ഇതുവരെ പ്രശ്നം 35863 തിരിച്ചറിഞ്ഞ പാക്കേജുകളിൽ 4620 എണ്ണത്തിൽ മാത്രമേ പരിഹരിച്ചിട്ടുള്ളൂ, അതായത്, 13%.

അതേസമയം, യുഎസ് സൈബർ സെക്യൂരിറ്റി ആൻഡ് ഇൻഫ്രാസ്ട്രക്ചർ സെക്യൂരിറ്റി ഏജൻസി, ഫെഡറൽ ഏജൻസികൾ Log4j ദുർബലതയ്ക്ക് സാധ്യതയുള്ള വിവര സംവിധാനങ്ങളെ ഡിസംബർ 23-നകം തിരിച്ചറിയണമെന്നും പ്രശ്നം ലഘൂകരിക്കുന്നതിന് പാച്ചുകൾ ഇൻസ്റ്റാൾ ചെയ്യണമെന്നും ആവശ്യപ്പെട്ടുകൊണ്ട് അടിയന്തര നിർദ്ദേശം പുറപ്പെടുവിച്ചു. ഡിസംബർ 28-നകം ഓർഗനൈസേഷനുകൾ അവരുടെ പുരോഗതി റിപ്പോർട്ട് ചെയ്യേണ്ടതുണ്ട്. ബാധിത സിസ്റ്റങ്ങളുടെ തിരിച്ചറിയൽ സുഗമമാക്കുന്നതിന്, അപകടസാധ്യതയ്ക്കായി ഉൽപ്പന്നങ്ങളുടെ ഒരു ലിസ്റ്റ് (23-ത്തിലധികം ആപ്ലിക്കേഷനുകൾ) തയ്യാറാക്കിയിട്ടുണ്ട്.

അവലംബം: opennet.ru