{"id":102661,"date":"2021-12-19T03:36:43","date_gmt":"2021-12-19T01:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/eshhyo-odna-uyazvimost-v-log4j-2-problemy-v-log4j-zatragivayut-8-maven-paketov"},"modified":"2021-12-19T03:36:43","modified_gmt":"2021-12-19T01:36:45","slug":"eshhyo-odna-uyazvimost-v-log4j-2-problemy-v-log4j-zatragivayut-8-maven-paketov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/eshhyo-odna-uyazvimost-v-log4j-2-problemy-v-log4j-zatragivayut-8-maven-paketov","title":{"rendered":"Kolejna podatno\u015b\u0107 w Log4j 2. Problemy z Log4j dotycz\u0105 8% pakiet\u00f3w Maven","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
W bibliotece Log4j 2 zidentyfikowano kolejn\u0105 podatno\u015b\u0107 (CVE-2021-45105), kt\u00f3ra w przeciwie\u0144stwie do dw\u00f3ch poprzednich problem\u00f3w zosta\u0142a zakwalifikowana jako niebezpieczna, ale nie krytyczna. Nowy problem mo\u017ce prowadzi\u0107 do odmowy us\u0142ugi i objawia si\u0119 w postaci zap\u0119tlenia oraz awaryjnego zako\u0144czenia podczas przetwarzania okre\u015blonych ci\u0105g\u00f3w. Podatno\u015b\u0107 zosta\u0142a naprawiona w opublikowanej kilka godzin temu wersji Log4j 2.17. Niebezpiecze\u0144stwo podatno\u015bci \u0142agodzi fakt, \u017ce problem objawia si\u0119 tylko w systemach z Jav\u0105 8. <\/p>\n
S\u0142abo\u015bci dotycz\u0105 system\u00f3w, kt\u00f3re przy okre\u015blaniu formatu wyj\u015bcia do logu wykorzystuj\u0105 kontekstowe zapytania (Context Lookup), takie jak ${ctx:var}. W wersjach Log4j, od 2.0-alpha1 do 2.16.0, brakowa\u0142o ochrony przed niekontrolowan\u0105 rekurencj\u0105, co pozwala\u0142o napastnikowi poprzez manipulacj\u0119 warto\u015bci\u0105 u\u017cywan\u0105 przy podstawieniu wywo\u0142a\u0107 cykl, prowadz\u0105cy do wyczerpania miejsca na stosie i awaryjnego zako\u0144czenia procesu. W szczeg\u00f3lno\u015bci problem wyst\u0119powa\u0142 przy podstawieniu takich warto\u015bci jak «${${::-${::-$${::-j}}}}». <\/p>\n
Dodatkowo warto zauwa\u017cy\u0107, \u017ce badacze z firmy Blumira zaproponowali wariant ataku na podatne aplikacje Java, kt\u00f3re nie przyjmuj\u0105 zewn\u0119trznych zapyta\u0144 sieciowych, na przyk\u0142ad mo\u017cna w ten spos\u00f3b zaatakowa\u0107 systemy deweloper\u00f3w lub u\u017cytkownik\u00f3w aplikacji Java. Istota metody polega na tym, \u017ce przy obecno\u015bci na systemie u\u017cytkownika podatnych proces\u00f3w Java, kt\u00f3re akceptuj\u0105 po\u0142\u0105czenia sieciowe tylko z lokalnego hosta (localhost), lub przetwarzaj\u0105cych zapytania RMI (Remote Method Invocation, port 1099), atak mo\u017ce zosta\u0107 przeprowadzony za pomoc\u0105 kodu JavaScript, wykonywanego podczas otwierania przez u\u017cytkownik\u00f3w z\u0142o\u015bliwej strony w przegl\u0105darce. Aby zorganizowa\u0107 po\u0142\u0105czenie z portem sieciowym aplikacji Java przy takim ataku, u\u017cywane jest API WebSocket, kt\u00f3re w przeciwie\u0144stwie do zapyta\u0144 HTTP nie podlega ograniczeniom same-origin (WebSocket mo\u017ce by\u0107 tak\u017ce u\u017cywany do skanowania port\u00f3w sieciowych na lokalnym ho\u015bcie w celu okre\u015blenia istniej\u0105cych obs\u0142ugiwanych port\u00f3w).
<\/center> <\/p>\n
Interesuj\u0105ce s\u0105 r\u00f3wnie\u017c opublikowane przez firm\u0119 Google wyniki oceny podatno\u015bci bibliotek zwi\u0105zanych z zale\u017cno\u015bciami Log4j. Wed\u0142ug Google problem dotyczy 8% wszystkich pakiet\u00f3w w repozytorium Maven Central. W szczeg\u00f3lno\u015bci podatno\u015bci dotkn\u0119\u0142y 35863 pakiety Java, zwi\u0105zane z Log4j zar\u00f3wno w zale\u017cno\u015bciach bezpo\u015brednich, jak i po\u015brednich. Log4j wyst\u0119puje jako bezpo\u015brednia zale\u017cno\u015b\u0107 pierwszego poziomu tylko w 17% przypadk\u00f3w, a w 83% obj\u0119tych podatno\u015bci\u0105 pakiet\u00f3w powi\u0105zanie odbywa si\u0119 poprzez po\u015brednie pakiety, zale\u017cne od Log4j, tzn. zale\u017cno\u015bci drugiego i wy\u017cszego poziomu (21% \u2014 drugiego poziomu, 12% \u2014 trzeciego, 14% \u2014 czwartego, 26% \u2014 pi\u0105tego, 6% \u2014 sz\u00f3stego). Tempo naprawy podatno\u015bci na razie pozostawia wiele do \u017cyczenia, tydzie\u0144 po ujawnieniu podatno\u015bci problem zosta\u0142 rozwi\u0105zany dopiero w 4620 z 35863 zidentyfikowanych pakiet\u00f3w, czyli w 13%.
<\/center> <\/p>\n
W mi\u0119dzyczasie, Ameryka\u0144ska Agencja ds. Cyberbezpiecze\u0144stwa i Ochrony Infrastruktury opublikowa\u0142a pilne zalecenie, zobowi\u0105zuj\u0105ce federalne agencje do zidentyfikowania system\u00f3w informacyjnych nara\u017conych na podatno\u015b\u0107 w Log4j, oraz do 23 grudnia zainstalowania aktualizacji, kt\u00f3re zablokuj\u0105 problem. Do 28 grudnia organizacje s\u0105 zobowi\u0105zane do z\u0142o\u017cenia raportu na temat podj\u0119tych dzia\u0142a\u0144. W celu u\u0142atwienia identyfikacji problematycznych system\u00f3w przygotowano list\u0119 produkt\u00f3w, w kt\u00f3rych potwierdzono wyst\u0105pienie podatno\u015bci (lista liczy ponad 23 tysi\u0105ce aplikacji). \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Kolejna](\"\/wp-content\/uploads\/2021\/12\/811931e8c3ae3f3f3c2e81db361034e6.jpg\")
<\/center> <\/p>\n![\"Kolejna](\"\/wp-content\/uploads\/2021\/12\/1e61b09923c7e055fa635545f1b3de6b.jpg\")
<\/center> <\/p>\n