{"id":102661,"date":"2021-12-19T03:36:43","date_gmt":"2021-12-19T01:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/eshhyo-odna-uyazvimost-v-log4j-2-problemy-v-log4j-zatragivayut-8-maven-paketov"},"modified":"2021-12-19T03:36:43","modified_gmt":"2021-12-19T01:36:45","slug":"eshhyo-odna-uyazvimost-v-log4j-2-problemy-v-log4j-zatragivayut-8-maven-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/eshhyo-odna-uyazvimost-v-log4j-2-problemy-v-log4j-zatragivayut-8-maven-paketov","title":{"rendered":"Een nieuwe kwetsbaarheid in Log4j 2. Problemen met Log4j treffen 8% van de Maven-pakketten.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de Log4j 2-bibliotheek is opnieuw een kwetsbaarheid ontdekt (CVE-2021-45105), die, in tegenstelling tot de twee eerdere problemen, is geclassificeerd als gevaarlijk, maar niet kritiek. Het nieuwe probleem kan leiden tot een denial-of-service en manifesteert zich in de vorm van een oneindige lus en een ongeplande afsluiting bij het verwerken van bepaalde strings. De kwetsbaarheid is verholpen in de zojuist verschenen release van Log4j 2.17. Het gevaar van de kwetsbaarheid wordt verzacht doordat het probleem alleen voorkomt op systemen met Java 8. <\/p>\n
Systemen die contextpersoonlijke verzoeken (Context Lookup) gebruiken bij het bepalen van het logformat zijn kwetsbaar, zoals ${ctx:var}. In Log4j-versies van 2.0-alpha1 tot en met 2.16.0 ontbrak de bescherming tegen ongecontroleerde recursie, waardoor een aanvaller door manipulatie van de waarde die bij de substitutie werd gebruikt, een loop kon veroorzaken die leidde tot uitputting van de stack en falen van het proces. Het probleem deed zich specifiek voor bij substitutie van waarden zoals «${${::-${::-$${::-j}}}}». <\/p>\n
Daarnaast kan worden opgemerkt dat onderzoekers van Blumira een aanvalsmethode hebben voorgesteld voor kwetsbare Java-applicaties die geen externe netwerkverzoeken accepteren. Bijvoorbeeld, systemen van ontwikkelaars of gebruikers van Java-applicaties kunnen op deze manier worden aangevallen. De essentie van de methode is dat wanneer er kwetsbare Java-processen op het systeem van de gebruiker aanwezig zijn, die alleen verbindingen van de localhost (localhost) accepteren of RMI-verzoeken (Remote Method Invocation, poort 1099) verwerken, de aanval kan worden uitgevoerd met JavaScript-code die wordt uitgevoerd wanneer gebruikers een kwaadaardige pagina in hun browser openen. Voor het tot stand brengen van een verbinding met de netwerkpoort van de Java-applicatie wordt bij een dergelijke aanval de WebSocket-API gebruikt, die in tegenstelling tot HTTP-verzoeken geen same-origin-beperkingen toepast (WebSocket kan ook worden gebruikt voor het scannen van netwerkpoorten op de localhost om beschikbare netwerkhandelaars te identificeren).
<\/center> <\/p>\n
Ook interessant zijn de door Google gepubliceerde resultaten van de beoordeling van kwetsbaarheden in bibliotheken met afhankelijkheden met Log4j. Volgens Google raakt het probleem 8% van alle pakketten in de Maven Central-repository. In totaal zijn 35863 Java-pakketten kwetsbaar die direct en indirect afhankelijk zijn van Log4j. Log4j wordt in slechts 17% van de gevallen als directe eerste-niveau afhankelijkheid gebruikt, terwijl in 83% van de getroffen pakketten de binding plaatsvindt via tussenliggende pakketten die afhankelijk zijn van Log4j, d.w.z. afhankelijkheden van het tweede niveau en hoger (21% \u2014 tweede niveau, 12% \u2014 derde, 14% \u2014 vierde, 26% \u2014 vijfde, 6% \u2014 zesde). De snelheid van het oplossen van de kwetsbaarheid laat nog te wensen over; een week na de ontdekking van de kwetsbaarheid is het probleem in slechts 4620 van de 35863 ontdekte pakketten verholpen, oftewel in 13%.
<\/center> <\/p>\n
Ondertussen heeft het Amerikaanse Cybersecurity and Infrastructure Security Agency een dringende richtlijn gepubliceerd die federale agentschappen verplicht om informatie systemen die kwetsbaar zijn voor Log4j te identificeren en voor 23 december updates te installeren die het probleem verhelpen. Tot 28 december wordt van organisaties verwacht dat zij verslag uitbrengen van het voltooide werk. Ter vereenvoudiging van de identificatie van problematische systemen is er een lijst van producten opgesteld waarin de kwetsbaarheid is bevestigd (de lijst bevat meer dan 23.000 applicaties). \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Een](\"\/wp-content\/uploads\/2021\/12\/811931e8c3ae3f3f3c2e81db361034e6.jpg\")
<\/center> <\/p>\n![\"Een](\"\/wp-content\/uploads\/2021\/12\/1e61b09923c7e055fa635545f1b3de6b.jpg\")
<\/center> <\/p>\n