Log4Shell: критическая уязвимость в библиотеке Apache Log4j | Блог Касперского

[KL FC Bot]

В интернете появились новости о критической уязвимости CVE-2021-44228 в библиотеке Apache Log4j (уровень опасности 10 из 10 по шкале CVSS). Эта библиотека используется миллионами Java-приложений для регистрации сообщений об ошибках. Что еще хуже, злоумышленники уже активно используют эту уязвимость в атаках. Поэтому Apache Foundation рекомендует всем разработчикам обновить библиотеку до версии 2.15.0, а если это невозможно, воспользоваться одним из методов, описанных на странице Apache Log4j Security Vulnerabilities.

Чем опасна уязвимость CVE-2021-44228

Уязвимость CVE-2021-44228, также получившая названия Log4Shell и LogJam, относится к классу Remote Code Execution. Если злоумышленникам удастся проэксплуатировать ее на одном из компьютеров, то они смогут исполнять на нем произвольный код. Потенциально это позволит им захватить полный контроль над системой.

Что делает CVE-2021-44228 особенно опасной — это простота эксплуатации: успешную атаку через эту уязвимость может осуществить даже неопытный хакер. По словам исследователей, злоумышленникам достаточно заставить приложение записать в лог всего одну строку, в результате чего им удастся подгрузить в приложение собственный код из-за функции message lookup substitution.

В Интернете уже можно найти рабочие доказательства осуществимости (PoC) атак при помощи CVE-2021-44228. Поэтому неудивительно, что различные компании, работающие в сфере кибербезопасности, уже регистрируют массовое сканирование сети в поисках уязвимых приложений, а также атаки на ханипоты.

Обнаружена уязвимость исследователем Ченом Жаожуном (Chen Zhaojun) из Alibaba Cloud Security Team.

 

View the full article

[Umnik]

Quote

и как защитить серверы от атак?

Господи божечки, ну и рекомендация. Если речь про сервер, то действия выполняет не разработчик, а пользователь ПО, например админ. Он не может скачать новую версию "на страничке проекта". То есть скачать то может, но потом ему её себе в одно место вставить можно, больше ни на что это не годится. Устранять уязвимость должны авторы ПО, которые используют эту либу.

 

То есть последовательность действий такая:

1. Авторы ПО обновляют либу на новую версию

2. Выкладывают обновления

3. Потребители ПО подтягивают новую версию

 

А теперь какая последовательность действий  на самом деле:

1. Авторы ПО никогда ничего не обновят, потому что:

1.1. Кто-то уже просто умер

1.2. Кто-то забил на развитие этого ПО

1.3. Кто-то не может себе позволить такую роскошь, как обновление на нестабильные версии. Ведь релиз вышел меньше суток назад: https://github.com/apache/logging-log4j2/releases/tag/rel%2F2.15.0 (до этого были релиз кандидаты). Классно звучит - затаскивать либу, которая не прошла полный цикл тестирования и может разломать работу продукта. Сначала подождите, когда выйдет пару патчей на либу (её наспех делали). Затем ждите пару недель минимум, пока QA прогонят тесты ПО, в которую, наконец, затянут фикс. А потом ещё месяц-два, потому что будут найдены проблемы и их надо устранить

2. Админы до последнего не будут ставить апдейты ПО, потому что:

2.1. Они не знают, где используется эта либа

2.1.1. А ещё какой она вообще версии в тех ПО, в которых всё-таки используется

2.2. Боятся, что обновление ПО на серваке приведёт к выводу его из строя, потому что "работает - не трогай". Сюда же вот такое: обновление ПО занимает время и сервер будет недоступен к нормальному использованию, что означает остановку некоторых техпроцессов

2.3. Ждут инструмент, который бы им сказал, какое же ПО уязвимо, чтобы решить, можно ли его безболезненно обновить или же обновление будет запланировано на длинные выходные, если это возможно

 

Пока не выйдет инструмент обнаружения - а текущие инструменты - это наколенные поделки, которые делают проверку через атаку и через чтение логов - чесаться будут либо фирмы с бесконечным запасом денег, либо мелкие команды, потому что у них на серваке ничего критичного и за полдня можно новый развернуть, так что сломать не страшно.