N\u00eb bibliotek\u00ebn Log4j 2 \u00ebsht\u00eb zbuluar nj\u00eb tjet\u00ebr dob\u00ebsi (CVE-2021-45105), e cila p\u00ebr dallim nga dy problemet e kaluara, \u00ebsht\u00eb kategorizuar si e rrezikshme, por jo kritike. Problemi i ri lejon t\u00eb shkaktohet nj\u00eb refuzim sh\u00ebrbimi dhe shfaqet n\u00eb form\u00ebn e bllokimit dhe mbylljes s\u00eb papritur kur p\u00ebrpunohen disa stringa t\u00eb caktuar. Dob\u00ebsia \u00ebsht\u00eb eliminuar n\u00eb versionin e publikuar disa or\u00eb m\u00eb par\u00eb t\u00eb Log4j 2.17. Rreziku i dob\u00ebsis\u00eb zbutet nga fakti se problemi shfaqet vet\u00ebm n\u00eb sistemet me Java 8. <\/p>\n
Sistemet q\u00eb jan\u00eb t\u00eb prekshme nga dob\u00ebsia jan\u00eb ato q\u00eb p\u00ebrdorin k\u00ebrkesa kontekstuale (Context Lookup) p\u00ebr t\u00eb p\u00ebrcaktuar formatin e output-it n\u00eb log, si p\u00ebr shembull ${ctx:var}. N\u00eb versionet e Log4j, q\u00eb fillojn\u00eb nga 2.0-alpha1 dhe p\u00ebrfundojn\u00eb n\u00eb 2.16.0, mungonte mbrojtja nga recursioni i pakontrolluar, i cili lejonte nj\u00eb sulmues t\u00eb shkaktonte bllokim duke manipuluar me vler\u00ebn q\u00eb p\u00ebrdorej n\u00eb z\u00ebvend\u00ebsim, duke sjell\u00eb k\u00ebshtu shterimin e hap\u00ebsir\u00ebs n\u00eb stack dhe mbylljen e papritur t\u00eb procesit. N\u00eb ve\u00e7anti, problemi ndodhte kur z\u00ebvend\u00ebsoheshin vlera t\u00eb tilla si «${${::-${::-$${::-j}}}}». <\/p>\n
S\u00eb fundmi, duhet p\u00ebrmendur se hulumtuesit nga kompania Blumira kan\u00eb propozuar nj\u00eb variant sulmi ndaj aplikacioneve Java t\u00eb prekshme, q\u00eb nuk pranojn\u00eb k\u00ebrkesa rrjetesh t\u00eb jashtme; p\u00ebr shembull, sistemet e zhvilluesve ose p\u00ebrdoruesve t\u00eb aplikacioneve Java mund t\u00eb sulmohen n\u00eb k\u00ebt\u00eb m\u00ebnyr\u00eb. Q\u00ebllimi i metod\u00ebs \u00ebsht\u00eb se n\u00ebse mbi sistemin e p\u00ebrdoruesit ekzistojn\u00eb procese Java t\u00eb prekshme, q\u00eb pranojn\u00eb lidhje rrjetesh vet\u00ebm nga hosti lokal (localhost), ose p\u00ebrpunojn\u00eb k\u00ebrkesa RMI (Remote Method Invocation, porti 1099), sulmi mund t\u00eb kryhet nga nj\u00eb kod JavaScript q\u00eb ekzekutohet kur p\u00ebrdoruesit hapin nj\u00eb faqe t\u00eb d\u00ebmshme n\u00eb shfletues. P\u00ebr t\u00eb organizuar lidhjen me portin rrjetor t\u00eb aplikacionit Java n\u00eb nj\u00eb sulm t\u00eb k\u00ebtill\u00eb, p\u00ebrdoret API WebSocket, i cili, p\u00ebr dallim nga k\u00ebrkesat HTTP, nuk ka kufizime same-origin (WebSocket gjithashtu mund t\u00eb p\u00ebrdoret p\u00ebr t\u00eb skanuar portet rrjetore n\u00eb localhost p\u00ebr t\u00eb identifikuar trajtuesit e rrjetit q\u00eb ekzistojn\u00eb).
<\/center> <\/p>\n
Gjithashtu, t\u00eb dh\u00ebnat e publikuara nga kompanit\u00eb Google mbi vler\u00ebsimin e dob\u00ebsis\u00eb s\u00eb bibliotekave q\u00eb kan\u00eb lidhje var\u00ebsish me Log4j jan\u00eb gjithashtu interesante. Sipas t\u00eb dh\u00ebnave nga Google, problemi preku 8% t\u00eb t\u00eb gjitha paketeve n\u00eb repository-n Maven Central. N\u00eb ve\u00e7anti, dob\u00ebsit\u00eb preken 35863 pako Java, q\u00eb jan\u00eb t\u00eb lidhura me Log4j me var\u00ebsi t\u00eb drejtp\u00ebrdrejta dhe t\u00eb t\u00ebrthorta. Me k\u00ebt\u00eb, Log4j p\u00ebrdoret si nj\u00eb var\u00ebsi e par\u00eb niveli vet\u00ebm n\u00eb 17% t\u00eb rasteve, nd\u00ebrsa n\u00eb 83% t\u00eb paketeve t\u00eb prekur nga dob\u00ebsia, lidhja b\u00ebhet p\u00ebrmes pakove nd\u00ebrmjet\u00ebse, q\u00eb jan\u00eb t\u00eb varura nga Log4j, pra var\u00ebsit\u00eb e nivelit t\u00eb dyt\u00eb dhe m\u00eb lart (21% \u2014 e nivelit t\u00eb dyt\u00eb, 12% \u2014 e tret\u00eb, 14% \u2014 e kat\u00ebrta, 26% \u2014 e pest\u00eb, 6% \u2014 e gjasht\u00eb). Shpejt\u00ebsia e rregullimit t\u00eb dob\u00ebsis\u00eb derim\u00eb tani l\u00eb p\u00ebr t\u00eb d\u00ebshiruar; nj\u00eb jav\u00eb pas zbrazjes s\u00eb dob\u00ebsis\u00eb, nga 35863 paketa t\u00eb identifikuara, problemi \u00ebsht\u00eb rregulluar vet\u00ebm n\u00eb 4620, pra n\u00eb 13%.
<\/center> <\/p>\n
Nd\u00ebrkoh\u00eb, Agjensia p\u00ebr Sigurin\u00eb Kibernetike dhe Mbrojtjen e Infrastruktur\u00ebs e SHBA-s\u00eb publikoi nj\u00eb direktiv\u00eb urgjente, q\u00eb detyron agjencit\u00eb federale t\u00eb p\u00ebrcaktojn\u00eb sistemet informative t\u00eb prekshme nga dob\u00ebsia n\u00eb Log4j dhe deri m\u00eb 23 dhjetor t\u00eb instalojn\u00eb p\u00ebrdit\u00ebsimet e nevojshme q\u00eb bllokojn\u00eb problemin. Deri m\u00eb 28 dhjetor, organizatat jan\u00eb t\u00eb detyruara t\u00eb raportojn\u00eb mbi pun\u00ebn e kryer. P\u00ebr t\u00eb leht\u00ebsuar identifikimin e sistemeve problematike, \u00ebsht\u00eb p\u00ebrgatitur nj\u00eb list\u00eb produktesh n\u00eb t\u00eb cil\u00ebn \u00ebsht\u00eb konfirmuar shfaqja e dob\u00ebsis\u00eb (n\u00eb list\u00eb jan\u00eb m\u00eb shum\u00eb se 23 mij\u00eb aplikacione). \n Burimi: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"Nj\u00eb](\"\/wp-content\/uploads\/2021\/12\/811931e8c3ae3f3f3c2e81db361034e6.jpg\")
<\/center> <\/p>\n![\"Nj\u00eb](\"\/wp-content\/uploads\/2021\/12\/1e61b09923c7e055fa635545f1b3de6b.jpg\")
<\/center> <\/p>\n