N\u00eb bibliotek\u00ebn Log4j 2 \u00ebsht\u00eb zbuluar edhe nj\u00eb cenueshm\u00ebri (CVE-2021-45105), e cila, ndryshe nga dy problemet e m\u00ebparshme, klasifikohet si e rrezikshme, por jo kritike. Problemi i ri mund t\u00eb shkaktoj\u00eb mohimin e sh\u00ebrbimit dhe shfaqet si cik\u00ebl i pafund dhe nd\u00ebrprerje anormale gjat\u00eb p\u00ebrpunimit t\u00eb vargjeve t\u00eb caktuara. Cenueshm\u00ebria \u00ebsht\u00eb korrigjuar n\u00eb versionin Log4j 2.17, t\u00eb publikuar pak or\u00eb m\u00eb par\u00eb. Rreziku i saj zbutet nga fakti se problemi shfaqet vet\u00ebm n\u00eb sistemet me Java 8. <\/p>\n
Sistemet q\u00eb p\u00ebrdorin k\u00ebrkesa kontekstuale p\u00ebr t\u00eb p\u00ebrcaktuar formatin e daljes n\u00eb logs (Context Lookup), si ${ctx:var}, jan\u00eb t\u00eb pranueshme ndaj dob\u00ebsive. N\u00eb versionet e Log4j, duke filluar nga 2.0-alpha1 dhe deri n\u00eb 2.16.0, mungonte mbrojtja ndaj rekursivitetit t\u00eb pakontrolluar, e cila lejonte sulmuesin, p\u00ebrmes manipulimit t\u00eb vler\u00ebs s\u00eb p\u00ebrdorur p\u00ebr z\u00ebvend\u00ebsim, t\u00eb shkaktonte nj\u00eb cik\u00ebl pa fund, duke \u00e7uar n\u00eb shterimin e hap\u00ebsir\u00ebs n\u00eb stack dhe nd\u00ebrprerjen e procesit. Problemi konkretisht ndodhte gjat\u00eb z\u00ebvend\u00ebsimit t\u00eb vlerave t\u00eb tilla si «${${::-${::-$${::-j}}}}». <\/p>\n
Gjithashtu, vlen t\u00eb theksohet se studiuesit nga kompania Blumira kan\u00eb propozuar nj\u00eb variant sulmi ndaj aplikacioneve Java t\u00eb cenueshme q\u00eb nuk pranojn\u00eb k\u00ebrkesa t\u00eb jashtme nga rrjeti; p\u00ebr shembull, n\u00eb k\u00ebt\u00eb m\u00ebnyr\u00eb mund t\u00eb sulmohen sistemet e zhvilluesve ose t\u00eb p\u00ebrdoruesve t\u00eb aplikacioneve Java. Thelbi i metod\u00ebs \u00ebsht\u00eb se, n\u00ebse n\u00eb sistemin e p\u00ebrdoruesit ka procese Java t\u00eb cenueshme q\u00eb pranojn\u00eb lidhje rrjeti vet\u00ebm nga localhost, ose p\u00ebrpunojn\u00eb k\u00ebrkesa RMI (Remote Method Invocation, porta 1099), sulmi mund t\u00eb kryhet p\u00ebrmes kodit JavaScript q\u00eb ekzekutohet kur p\u00ebrdoruesi hap nj\u00eb faqe keqdash\u00ebse n\u00eb shfletues. P\u00ebr t\u00eb vendosur lidhjen me port\u00ebn e rrjetit t\u00eb aplikacionit Java n\u00eb nj\u00eb sulm t\u00eb till\u00eb p\u00ebrdoret API WebSocket, ndaj t\u00eb cilit, ndryshe nga k\u00ebrkesat HTTP, nuk zbatohen kufizimet same-origin (WebSocket mund t\u00eb p\u00ebrdoret gjithashtu p\u00ebr skanimin e porteve t\u00eb rrjetit n\u00eb localhost me q\u00ebllim identifikimin e sh\u00ebrbimeve t\u00eb disponueshme n\u00eb rrjet).
<\/center> <\/p>\n
Gjithashtu, interesante jan\u00eb rezultatet e publikuara nga Google p\u00ebr vler\u00ebsimin e dob\u00ebsive t\u00eb bibliotekave t\u00eb lidhura me Log4j. Sipas Google, problemi prek 8% t\u00eb t\u00eb gjitha pacove n\u00eb repositorin Maven Central. Konkretisht, 35863 pacove Java ishin t\u00eb ekspozuara ndaj dob\u00ebsive q\u00eb kishin lidhje direkte dhe indirekte me Log4j. N\u00eb k\u00ebt\u00eb rast, Log4j p\u00ebrdoret si nj\u00eb var\u00ebsi e par\u00eb e drejtp\u00ebrdrejt\u00eb vet\u00ebm n\u00eb 17% t\u00eb rasteve, nd\u00ebrsa n\u00eb 83% t\u00eb pacove t\u00eb prekur nga dob\u00ebsia, lidhja b\u00ebhet p\u00ebrmes pacove nd\u00ebrmjet\u00ebs, q\u00eb varen nga Log4j, dmth, var\u00ebsi t\u00eb nivelit t\u00eb dyt\u00eb dhe m\u00eb lart\u00eb (21% - nivel i dyt\u00eb, 12% - nivel i tret\u00eb, 14% - nivel i kat\u00ebrt, 26% - nivel i pest\u00eb, 6% - nivel i gjasht\u00eb). Rritja e ritmit t\u00eb korigjimit t\u00eb dob\u00ebsis\u00eb deri tani l\u00eb p\u00ebr t\u00eb d\u00ebshiruar, sepse nj\u00eb jav\u00eb pas identifikimit t\u00eb dob\u00ebsis\u00eb nga 35863 pacove t\u00eb identifikuara, problemi \u00ebsht\u00eb adresuar deri tani vet\u00ebm n\u00eb 4620, dmth, n\u00eb 13%.
<\/center> <\/p>\n
Nd\u00ebrkoh\u00eb, Agjencia Amerikane p\u00ebr Sigurin\u00eb Kibernetike dhe Mbrojtjen e Infrastruktur\u00ebs ka publikuar nj\u00eb direktiv\u00eb urgjente q\u00eb detyron agjencit\u00eb federale t\u00eb identifikojn\u00eb sistemet informative t\u00eb prekura nga cenueshm\u00ebria n\u00eb Log4j dhe deri m\u00eb 23 dhjetor t\u00eb instalojn\u00eb p\u00ebrdit\u00ebsimet q\u00eb e bllokojn\u00eb problemin. Deri m\u00eb 28 dhjetor, organizatave u k\u00ebrkohet t\u00eb raportojn\u00eb p\u00ebr pun\u00ebn e kryer. P\u00ebr t\u00eb leht\u00ebsuar identifikimin e sistemeve problematike, \u00ebsht\u00eb p\u00ebrgatitur nj\u00eb list\u00eb produktesh ku \u00ebsht\u00eb konfirmuar prania e cenueshm\u00ebris\u00eb (lista p\u00ebrfshin m\u00eb shum\u00eb se 23 mij\u00eb aplikacione). \n Burimi: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Edhe](\"\/wp-content\/uploads\/2021\/12\/811931e8c3ae3f3f3c2e81db361034e6.jpg\")
<\/center> <\/p>\n![\"Edhe](\"\/wp-content\/uploads\/2021\/12\/1e61b09923c7e055fa635545f1b3de6b.jpg\")
<\/center> <\/p>\n