Log4j 2 मा अर्को कमजोरी। Log4j मा समस्याहरूले 8% माभेन प्याकेजहरूलाई असर गर्छ

Log4j 2 पुस्तकालय (CVE-2021-45105) मा अर्को कमजोरी पहिचान गरिएको छ, जुन अघिल्लो दुई समस्याहरूको विपरीत, खतरनाक रूपमा वर्गीकृत गरिएको छ, तर महत्त्वपूर्ण छैन। नयाँ मुद्दाले तपाईंलाई सेवा अस्वीकार गर्न अनुमति दिन्छ र केही रेखाहरू प्रशोधन गर्दा लूपहरू र क्र्यासहरूको रूपमा प्रकट हुन्छ। केही घण्टा पहिले जारी गरिएको Log4j 2.17 रिलीजमा कमजोरी फिक्स गरिएको थियो। भेद्यताको खतरालाई यो तथ्यद्वारा कम गरिएको छ कि समस्या Java 8 सँग प्रणालीहरूमा मात्र देखा पर्दछ।

असुरक्षाले प्रणालीहरूलाई असर गर्छ जसले लग आउटपुट ढाँचा निर्धारण गर्न सन्दर्भ प्रश्नहरू (सन्दर्भ लुकअप), जस्तै ${ctx:var} प्रयोग गर्दछ। 4-alpha2.0 देखि 1 सम्मको Log2.16.0j संस्करणहरूमा अनियन्त्रित पुनरावृत्ति विरुद्ध सुरक्षाको अभाव थियो, जसले आक्रमणकर्तालाई प्रतिस्थापनमा प्रयोग गरिएको मान हेरफेर गर्न लूप निम्त्याउन अनुमति दिन्छ, जसले स्ट्याक स्पेसको थकान र क्र्यास निम्त्याउँछ। विशेष गरी, "${${::-${::-$${::-j}}}}" जस्ता मानहरू प्रतिस्थापन गर्दा समस्या भयो।

थप रूपमा, यो नोट गर्न सकिन्छ कि ब्लुमिराका अनुसन्धानकर्ताहरूले कमजोर जाभा अनुप्रयोगहरू आक्रमण गर्ने विकल्प प्रस्ताव गरेका छन् जसले बाह्य नेटवर्क अनुरोधहरू स्वीकार गर्दैनन्; उदाहरणका लागि, विकासकर्ताहरूको प्रणाली वा Java अनुप्रयोगहरूको प्रयोगकर्ताहरूलाई यस तरिकाले आक्रमण गर्न सकिन्छ। विधिको सार यो हो कि यदि प्रयोगकर्ताको प्रणालीमा कमजोर जाभा प्रक्रियाहरू छन् जसले स्थानीय होस्टबाट मात्र नेटवर्क जडानहरू स्वीकार गर्दछ, वा RMI अनुरोधहरू (रिमोट मेथड इनभोकेसन, पोर्ट 1099) लाई प्रक्रिया गर्दछ, जाभास्क्रिप्ट कोड निष्पादित द्वारा आक्रमण गर्न सकिन्छ। जब प्रयोगकर्ताहरूले आफ्नो ब्राउजरमा खराब पृष्ठ खोल्छन्। यस्तो आक्रमणको समयमा जाभा अनुप्रयोगको नेटवर्क पोर्टमा जडान स्थापना गर्न, WebSocket API प्रयोग गरिन्छ, जसमा HTTP अनुरोधहरूको विपरीत, समान-मूल प्रतिबन्धहरू लागू हुँदैनन् (WebSocket लाई स्थानीय रूपमा नेटवर्क पोर्टहरू स्क्यान गर्न पनि प्रयोग गर्न सकिन्छ। उपलब्ध नेटवर्क ह्यान्डलरहरू निर्धारण गर्न होस्ट)।

Log4j निर्भरताहरूसँग सम्बन्धित पुस्तकालयहरूको जोखिम मूल्याङ्कन गर्ने Google द्वारा प्रकाशित परिणामहरू पनि चासोको विषय हो। गुगलका अनुसार, समस्याले माभेन सेन्ट्रल रिपोजिटरीका सबै प्याकेजहरूको 8% लाई असर गर्छ। विशेष गरी, प्रत्यक्ष र अप्रत्यक्ष निर्भरताहरू मार्फत Log35863j सँग सम्बन्धित 4 Java प्याकेजहरू जोखिममा परेका थिए। एकै समयमा, Log4j लाई 17% केसहरूमा मात्र प्रत्यक्ष पहिलो-स्तर निर्भरताको रूपमा प्रयोग गरिन्छ, र 83% प्रभावित प्याकेजहरूमा, बाइन्डिङ मध्यवर्ती प्याकेजहरू मार्फत गरिन्छ जुन Log4j मा निर्भर हुन्छ, अर्थात्। दोस्रो र उच्च स्तरको लत (21% - दोस्रो स्तर, 12% - तेस्रो, 14% - चौथो, 26% - पाँचौं, 6% - छैटौं)। जोखिम समाधानको गतिले अझै धेरै वांछित गर्न बाँकी छ; जोखिम पहिचान भएको एक हप्ता पछि, 35863 पहिचान गरिएका प्याकेजहरू मध्ये, हालसम्म 4620 मा मात्र समस्या समाधान भएको छ, अर्थात्। 13% मा।

यसैबीच, युएस साइबरसेक्युरिटी र इन्फ्रास्ट्रक्चर प्रोटेक्शन एजेन्सीले संघीय एजेन्सीहरूलाई Log4j कमजोरीबाट प्रभावित सूचना प्रणालीहरू पहिचान गर्न र डिसेम्बर 23 सम्ममा समस्या रोक्ने अपडेटहरू स्थापना गर्न आवश्यक पर्ने आपतकालीन निर्देशन जारी गर्‍यो। डिसेम्बर 28 सम्म, संगठनहरूले आफ्नो कामको रिपोर्ट गर्न आवश्यक छ। समस्याग्रस्त प्रणालीहरूको पहिचानलाई सरल बनाउन, उत्पादनहरूको सूची तयार गरिएको छ जुन कमजोरीहरू प्रदर्शन गर्न पुष्टि गरिएको छ (सूचीमा 23 हजार भन्दा बढी अनुप्रयोगहरू समावेश छन्)।

स्रोत: opennet.ru