W bibliotece Apache Log4j, jednej z najczęściej używanych do logowania zdarzeń wykorzystywanych przez aplikacje napisane w języku Java, znaleziono krytyczne podatności pozwalające na zdalne wykonanie kodu z uprawnieniami danej aplikacji.
Podatności te, oznaczone jako CVE-2021-44228 oraz CVE-2021-45046, dotyczą powszechnie stosowanego komponentu (biblioteki Log4j 2). Jest on odpowiedzialny za procesy utrwalania zdarzeń w dziennikach aplikacji implementowanych w języku Java oraz wielu rozwiązaniach typu „middleware” bazujących na tym języku.
Co więcej, komponent ten może być używany w sposób niejawny, tj. aplikacja może nie posiadać żadnych bezpośrednich powiązań z komponentem, a faktyczne jego wykorzystanie występuje w oprogramowaniu „middleware”, na jakim aplikacja jest osadzana (serwery aplikacyjne, kontenery serwletów, rozwiązania ESB itp.).
Zwracamy szczególną uwagę na prostotę metod realizacji ataku, oraz pojawienie się gotowych, publicznie dostępnych przykładów kodu realizujących tego rodzaju atak (ang. exploit).
Polecamy zachowanie szczególnej ostrożności i wykonanie odpowiednich procedur w obszarze zarządzania bezpieczeństwem systemów informatycznych.
Procedury zapobiegawcze
Wektor ataku posiada bardzo charakterystyczną sygnaturę tekstową, którą łatwo wykryć w dziennikach aplikacyjnych oraz żądaniach wysyłanych do aplikacji. Możliwe metody postępowania w tej sytuacji to m.in.:
- obserwacja logów aplikacyjnych w poszukiwaniu sygnatur ataku (narzędzia SIEM);
- obserwacja i blokowanie wywołań zawierających sygnatury ataku (http/rest/ws);
- obserwacja i blokowanie wychodzących połączeń TCP kierowanych do publicznie dostępnych usług LDAP (należy sugerować się zawartością strumienia TCP).
Zalecane postępowanie
- Audyt posiadanego oprogramowania (łącznie z rozwiązaniami „middleware”), używającego wersji komponentu Log4j 2 wskazanych w podatnościach.
- Identyfikacja wykorzystania podatnego komponentu i podniesienie jego wersji do bezpiecznej.
Odnośniki
W razie dodatkowych pytań zapraszamy do skorzystania z naszych usług konsultacyjnych. Skontaktuj się z nami