Log4j 2.16 vulnerabil la atacuri DoS, se recomandă patch-ul urgent 2.17

Impactul infamei vulnerabilități din biblioteca Java Log4j continuă. Deși cea mai mare problemă a fost rezolvată cu patch-ul urgent 2.16, această versiune pare de asemenea a fi susceptibilă de abuz. Cercetătorii de securitate au găsit o intrare pentru atacurile Denial of Service (DoS). Log4j 2.17 a fost publicat pentru a închide intrarea.

Apache, dezvoltatorul bibliotecii Java, sfătuiește organizațiile să aplice patch-ul de urgență. Acest sfat se aplică pentru a treia oară de când biblioteca a fost considerată vulnerabilă.

Acum o săptămână și jumătate, cercetătorii de securitate de la Alibaba cloud echipa de securitate a dezvăluit o metodă de a abuza de aplicații cu Log4j. Log4j este folosit în aplicații pentru a înregistra evenimente. S-a dovedit a fi posibilă accesarea aplicațiilor cu biblioteca din exterior cu instrucțiuni de executare a malware. Abuzul durează puțin mai mult decât o clipă. Adăugați la asta apariția estimată a bibliotecii în majoritatea mediilor corporative și înțelegeți amploarea dezastrului cu care se confruntă peisajul IT global.

Dezvoltatorii de software precum Fortinet, Cisco, IBM și zeci de alții folosesc biblioteca în software-ul lor. Dezvoltatorii lor au lucrat peste program în weekendul din 11 decembrie pentru a procesa primul patch de urgență pentru vulnerabilitate și pentru a-l livra organizațiilor utilizatorilor. Exact aceeași deriva era de așteptat de la echipele IT din cadrul acestor organizații. Sute de mii de tentative de atac au avut loc în întreaga lume. Toată lumea a trebuit să treacă la 2.15 cât mai curând posibil - până când 2.15 s-a dovedit a fi vulnerabilă.

Anumite configurații ale bibliotecii au rămas posibile în versiunea 2.15. Utilizarea acestor configurații a perpetuat vulnerabilitatea. Versiunea 2.16 a făcut configurațiile imposibile, garantând un nou patch. Adesea spre supărarea echipelor IT deja suprasolicitate. Cu toate acestea, poate fi întotdeauna mai rău, deoarece 2.16 are și o boală.

Înapoi la început

Atenția globală masivă acordată problemei a determinat investigații masive la nivel mondial. Apache, dezvoltatorul bibliotecii, pare să nu-și tragă respirația timp de două zile fără ca o companie de securitate să arate o problemă nouă, presantă.

Pe scurt, se dovedește că este posibil să rulați zeci de versiuni de log4j – inclusiv 2.16 – cu o singură linie (șir) pentru a începe o buclă eternă care blochează aplicația. Condițiile pe care trebuie să le îndeplinească un mediu pentru a fi abuzat sunt extinse. Atât de extins încât gravitatea practică a problemei este contestată. Plasturele este recomandat oficial, dar nu toată lumea este convinsă.

Din nou, nu fiecare instanță a Log4j este vulnerabilă, ci doar cazurile în care biblioteca rulează cu setări personalizate. Un potențial atacator are nevoie și de o perspectivă detaliată asupra modului în care funcționează Log4j. Un contrast cu vulnerabilitatea inițială, ușor accesibilă.