Log4Shell, cunoscută și prin numărul care i s-a atribuit, CVE-2021-44228, este o vulnerabilitate cu de zero zile a popularului Log4j. Vulnerabilitatea a fost dezvăluită Fundației Apache de către echipa de cloud security de la Alibaba pe și publicată pe .
Vulnerabilitatea profită de faptul că Log4j execută fără să verifice cereri LDAP și . Acest lucru permite atacatorilor să execute cod Java arbitrar pe un server sau pe alt computer. Printre serviciile afectate se numără Cloudflare, iCloud, ediția Java a lui Minecraft și Steam. Lunasec a caracterizat vulnerabilitatea drept „o eroare de proiectare de proporții catastrofale”, iar Tenable ca „cea mai mare și mai critică vulnerabilitate din ultimul deceniu”. Apache Software Foundation, care administrează proiectul Log4j, a acordat vulnerabilității Log4Shell un de 10, cel mai mare scor posibil.
Context Log4j este un framework de înregistrare open source care permite dezvoltatorilor de software să înregistreze diverse date în aplicația lor pe măsură ce aceasta rulează. Aceste date pot include și date de intrare primite de la utilizator. Este folosit în multe locuri în aplicații Java, în special în software enterprise. Scrisă inițial în 2001 de Ceki Gülcü, acum face parte din Apache Logging Services, un proiect al Apache Software Foundation.
Atenuare Remedieri pentru această vulnerabilitate au fost lansate pe , cu trei zile înainte de publicarea vulnerabilității, în Log4j versiunea 2.15.0-rc1. Remedierea a inclus restricționarea serverelor și protocoalelor care pot fi utilizate pentru căutări, care pot fi configurate folosind mai multe proprietăți ale sistemului. Aceasta a înlocuit proprietatea de sistem log4j2.formatMsgNoLookups, care se recomandă să fie utilizată pentru a atenua vulnerabilitatea în versiunile anterioare, setând-o la true. În plus, toate feature-urile care utilizează , pe care se bazează această vulnerabilitate, vor fi dezactivate în mod implicit începând cu versiunea 2.15.1.
Versiunile mai noi de atenuează și ele această vulnerabilitate, blocând încărcarea implicită de cod de la distanță, deși vectorii de atac încă există în anumite aplicații.
Răspuns și impact În Statele Unite, directorul (CISA), Jen Easterly, a caracterizat exploitul drept „critic” și a sfătuit furnizorii de servicii să acorde prioritate actualizărilor de software, iar (CCC) a cerut organizațiilor să ia măsuri imediate. Agenția germană similară (BSI) a clasificat exploitul la cel mai înalt nivel de amenințare, afirmând că situația este „[una] de amenințare extrem de critică”. De asemenea, a raportat că mai multe atacuri au avut deja succes și că este greu de evaluat impactul real al acestei situații.
Potrivit firmei de securitate cibernetică GreyNoise, mai multe adrese IP făceau încercau site-uri web pentru a verifica dacă serverele au sau nu vulnerabilitatea. și-a închis temporar serviciile online după ce a aflat despre vulnerabilitate, în timp ce guvernul Quebecului a închis aproape 4000 de site-uri web ca „măsură preventivă”.
Administratorii de sistem au fost sfătuiți să evalueze situația și să pună în aplicare măsuri de atenuare cât mai repede posibil, fie prin actualizarea bibliotecii, fie prin dezactivarea lookupurilor folosind proprietatea de sistem.
Referințe
Legături externe Log4j website
Categorie:2021 în domeniul informaticii Categorie:Securitatea rețelelor de calculatoare