Log4j 2 ਵਿੱਚ ਇੱਕ ਹੋਰ ਕਮਜ਼ੋਰੀ। Log4j ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਮਾਵੇਨ ਪੈਕੇਜਾਂ ਦੇ 8% ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀਆਂ ਹਨ।

Log4j 2 ਲਾਇਬ੍ਰੇਰੀ (CVE-2021-45105) ਵਿੱਚ ਇੱਕ ਹੋਰ ਕਮਜ਼ੋਰੀ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ, ਜੋ ਕਿ ਪਿਛਲੀਆਂ ਦੋ ਸਮੱਸਿਆਵਾਂ ਦੇ ਉਲਟ, ਖਤਰਨਾਕ ਵਜੋਂ ਸ਼੍ਰੇਣੀਬੱਧ ਕੀਤੀ ਗਈ ਹੈ, ਪਰ ਨਾਜ਼ੁਕ ਨਹੀਂ ਹੈ। ਨਵਾਂ ਮੁੱਦਾ ਤੁਹਾਨੂੰ ਸੇਵਾ ਤੋਂ ਇਨਕਾਰ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ ਅਤੇ ਕੁਝ ਲਾਈਨਾਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਸਮੇਂ ਆਪਣੇ ਆਪ ਨੂੰ ਲੂਪਸ ਅਤੇ ਕਰੈਸ਼ਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਪ੍ਰਗਟ ਕਰਦਾ ਹੈ। ਕੁਝ ਘੰਟੇ ਪਹਿਲਾਂ ਜਾਰੀ ਕੀਤੀ Log4j 2.17 ਰੀਲੀਜ਼ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਨੂੰ ਠੀਕ ਕੀਤਾ ਗਿਆ ਸੀ। ਕਮਜ਼ੋਰੀ ਦੇ ਖ਼ਤਰੇ ਨੂੰ ਇਸ ਤੱਥ ਦੁਆਰਾ ਘਟਾਇਆ ਗਿਆ ਹੈ ਕਿ ਸਮੱਸਿਆ ਸਿਰਫ਼ Java 8 ਵਾਲੇ ਸਿਸਟਮਾਂ 'ਤੇ ਦਿਖਾਈ ਦਿੰਦੀ ਹੈ।

ਕਮਜ਼ੋਰੀ ਉਹਨਾਂ ਸਿਸਟਮਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ ਜੋ ਲਾਗ ਆਉਟਪੁੱਟ ਫਾਰਮੈਟ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਪ੍ਰਸੰਗਿਕ ਸਵਾਲਾਂ (ਸੰਦਰਭ ਲੁੱਕਅੱਪ), ਜਿਵੇਂ ਕਿ ${ctx:var} ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ। 4-alpha2.0 ਤੋਂ 1 ਤੱਕ Log2.16.0j ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਬੇਕਾਬੂ ਦੁਹਰਾਓ ਦੇ ਵਿਰੁੱਧ ਸੁਰੱਖਿਆ ਦੀ ਘਾਟ ਸੀ, ਜਿਸ ਨਾਲ ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਲੂਪ ਦਾ ਕਾਰਨ ਬਣਨ ਲਈ ਬਦਲ ਵਿੱਚ ਵਰਤੇ ਗਏ ਮੁੱਲ ਨੂੰ ਹੇਰਾਫੇਰੀ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਗਈ, ਜਿਸ ਨਾਲ ਸਟੈਕ ਸਪੇਸ ਦੀ ਥਕਾਵਟ ਅਤੇ ਇੱਕ ਕਰੈਸ਼ ਹੋ ਗਿਆ। ਖਾਸ ਤੌਰ 'ਤੇ, "${${::-${:-$${::-j}}}}" ਵਰਗੇ ਮੁੱਲਾਂ ਨੂੰ ਬਦਲਦੇ ਸਮੇਂ ਸਮੱਸਿਆ ਆਈ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਨੋਟ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਕਿ ਬਲੂਮੀਰਾ ਦੇ ਖੋਜਕਰਤਾਵਾਂ ਨੇ ਕਮਜ਼ੋਰ ਜਾਵਾ ਐਪਲੀਕੇਸ਼ਨਾਂ 'ਤੇ ਹਮਲਾ ਕਰਨ ਲਈ ਇੱਕ ਵਿਕਲਪ ਦਾ ਪ੍ਰਸਤਾਵ ਦਿੱਤਾ ਹੈ ਜੋ ਬਾਹਰੀ ਨੈੱਟਵਰਕ ਬੇਨਤੀਆਂ ਨੂੰ ਸਵੀਕਾਰ ਨਹੀਂ ਕਰਦੇ ਹਨ; ਉਦਾਹਰਨ ਲਈ, ਡਿਵੈਲਪਰਾਂ ਜਾਂ Java ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਸਿਸਟਮਾਂ 'ਤੇ ਇਸ ਤਰੀਕੇ ਨਾਲ ਹਮਲਾ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ। ਵਿਧੀ ਦਾ ਸਾਰ ਇਹ ਹੈ ਕਿ ਜੇਕਰ ਉਪਭੋਗਤਾ ਦੇ ਸਿਸਟਮ 'ਤੇ ਕਮਜ਼ੋਰ Java ਪ੍ਰਕਿਰਿਆਵਾਂ ਹਨ ਜੋ ਸਿਰਫ ਸਥਾਨਕ ਹੋਸਟ ਤੋਂ ਨੈਟਵਰਕ ਕਨੈਕਸ਼ਨਾਂ ਨੂੰ ਸਵੀਕਾਰ ਕਰਦੀਆਂ ਹਨ, ਜਾਂ RMI ਬੇਨਤੀਆਂ (ਰਿਮੋਟ ਮੈਥਡ ਇਨਵੋਕੇਸ਼ਨ, ਪੋਰਟ 1099) ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੀਆਂ ਹਨ, ਤਾਂ ਹਮਲਾ JavaScript ਕੋਡ ਦੁਆਰਾ ਚਲਾਇਆ ਜਾ ਸਕਦਾ ਹੈ। ਜਦੋਂ ਉਪਭੋਗਤਾ ਆਪਣੇ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਇੱਕ ਖਤਰਨਾਕ ਪੰਨਾ ਖੋਲ੍ਹਦੇ ਹਨ। ਅਜਿਹੇ ਹਮਲੇ ਦੌਰਾਨ ਜਾਵਾ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਨੈੱਟਵਰਕ ਪੋਰਟ ਨਾਲ ਕੁਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕਰਨ ਲਈ, WebSocket API ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਜਿਸ ਲਈ, HTTP ਬੇਨਤੀਆਂ ਦੇ ਉਲਟ, ਸਮਾਨ-ਮੂਲ ਪਾਬੰਦੀਆਂ ਲਾਗੂ ਨਹੀਂ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ (WebSocket ਦੀ ਵਰਤੋਂ ਸਥਾਨਕ 'ਤੇ ਨੈੱਟਵਰਕ ਪੋਰਟਾਂ ਨੂੰ ਸਕੈਨ ਕਰਨ ਲਈ ਵੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ। ਉਪਲਬਧ ਨੈੱਟਵਰਕ ਹੈਂਡਲਰਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਲਈ ਹੋਸਟ)।

Log4j ਨਿਰਭਰਤਾ ਨਾਲ ਜੁੜੀਆਂ ਲਾਇਬ੍ਰੇਰੀਆਂ ਦੀ ਕਮਜ਼ੋਰੀ ਦਾ ਮੁਲਾਂਕਣ ਕਰਨ ਦੇ Google ਦੁਆਰਾ ਪ੍ਰਕਾਸ਼ਿਤ ਨਤੀਜੇ ਵੀ ਦਿਲਚਸਪ ਹਨ। ਗੂਗਲ ਦੇ ਅਨੁਸਾਰ, ਸਮੱਸਿਆ ਮਾਵੇਨ ਸੈਂਟਰਲ ਰਿਪੋਜ਼ਟਰੀ ਦੇ ਸਾਰੇ ਪੈਕੇਜਾਂ ਦੇ 8% ਨੂੰ ਪ੍ਰਭਾਵਤ ਕਰਦੀ ਹੈ. ਖਾਸ ਤੌਰ 'ਤੇ, ਸਿੱਧੇ ਅਤੇ ਅਸਿੱਧੇ ਨਿਰਭਰਤਾਵਾਂ ਦੁਆਰਾ Log35863j ਨਾਲ ਜੁੜੇ 4 Java ਪੈਕੇਜ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਸਾਹਮਣੇ ਆਏ ਸਨ। ਇਸ ਦੇ ਨਾਲ ਹੀ, Log4j ਦੀ ਵਰਤੋਂ ਸਿਰਫ਼ 17% ਕੇਸਾਂ ਵਿੱਚ ਸਿੱਧੀ ਪਹਿਲੀ-ਪੱਧਰ ਦੀ ਨਿਰਭਰਤਾ ਵਜੋਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਪ੍ਰਭਾਵਿਤ ਪੈਕੇਜਾਂ ਦੇ 83% ਵਿੱਚ, ਬਾਈਡਿੰਗ ਵਿਚਕਾਰਲੇ ਪੈਕੇਜਾਂ ਦੁਆਰਾ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਜੋ Log4j 'ਤੇ ਨਿਰਭਰ ਕਰਦੇ ਹਨ, ਯਾਨੀ. ਦੂਜੇ ਅਤੇ ਉੱਚ ਪੱਧਰ ਦੇ ਨਸ਼ੇ (21% - ਦੂਜਾ ਪੱਧਰ, 12% - ਤੀਜਾ, 14% - ਚੌਥਾ, 26% - ਪੰਜਵਾਂ, 6% - ਛੇਵਾਂ)। ਕਮਜ਼ੋਰੀ ਨੂੰ ਠੀਕ ਕਰਨ ਦੀ ਰਫ਼ਤਾਰ ਅਜੇ ਵੀ ਲੋੜੀਂਦਾ ਬਹੁਤ ਕੁਝ ਛੱਡਦੀ ਹੈ; ਕਮਜ਼ੋਰੀ ਦੀ ਪਛਾਣ ਕੀਤੇ ਜਾਣ ਤੋਂ ਇੱਕ ਹਫ਼ਤੇ ਬਾਅਦ, 35863 ਪਛਾਣੇ ਗਏ ਪੈਕੇਜਾਂ ਵਿੱਚੋਂ, ਸਮੱਸਿਆ ਨੂੰ ਹੁਣ ਤੱਕ ਸਿਰਫ਼ 4620 ਵਿੱਚ ਹੱਲ ਕੀਤਾ ਗਿਆ ਹੈ, ਯਾਨੀ. 13% 'ਤੇ.

ਇਸ ਦੌਰਾਨ, ਯੂ.ਐੱਸ. ਸਾਈਬਰ ਸੁਰੱਖਿਆ ਅਤੇ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਸੁਰੱਖਿਆ ਏਜੰਸੀ ਨੇ ਇੱਕ ਐਮਰਜੈਂਸੀ ਨਿਰਦੇਸ਼ ਜਾਰੀ ਕੀਤਾ ਜਿਸ ਵਿੱਚ ਫੈਡਰਲ ਏਜੰਸੀਆਂ ਨੂੰ Log4j ਕਮਜ਼ੋਰੀ ਤੋਂ ਪ੍ਰਭਾਵਿਤ ਸੂਚਨਾ ਪ੍ਰਣਾਲੀਆਂ ਦੀ ਪਛਾਣ ਕਰਨ ਅਤੇ 23 ਦਸੰਬਰ ਤੱਕ ਸਮੱਸਿਆ ਨੂੰ ਰੋਕਣ ਵਾਲੇ ਅੱਪਡੇਟ ਸਥਾਪਤ ਕਰਨ ਦੀ ਲੋੜ ਹੁੰਦੀ ਹੈ। 28 ਦਸੰਬਰ ਤੱਕ, ਸੰਸਥਾਵਾਂ ਨੂੰ ਆਪਣੇ ਕੰਮ ਦੀ ਰਿਪੋਰਟ ਕਰਨੀ ਪੈਂਦੀ ਹੈ। ਸਮੱਸਿਆ ਵਾਲੇ ਪ੍ਰਣਾਲੀਆਂ ਦੀ ਪਛਾਣ ਨੂੰ ਸਰਲ ਬਣਾਉਣ ਲਈ, ਉਹਨਾਂ ਉਤਪਾਦਾਂ ਦੀ ਇੱਕ ਸੂਚੀ ਤਿਆਰ ਕੀਤੀ ਗਈ ਹੈ ਜਿਨ੍ਹਾਂ ਦੀ ਕਮਜ਼ੋਰੀ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਨ ਦੀ ਪੁਸ਼ਟੀ ਕੀਤੀ ਗਈ ਹੈ (ਸੂਚੀ ਵਿੱਚ 23 ਹਜ਼ਾਰ ਤੋਂ ਵੱਧ ਐਪਲੀਕੇਸ਼ਨ ਸ਼ਾਮਲ ਹਨ)।

ਸਰੋਤ: opennet.ru