ನೆಟ್‌ನಲ್ಲಿ ದುರ್ಬಲತೆಯ ಬಗ್ಗೆ ಸಾಕಷ್ಟು ಚರ್ಚೆಗಳು ನಡೆಯುತ್ತಿವೆ Log4J ಇದು ಆಕ್ರಮಣಕಾರರಿಗೆ ಅನಿಯಂತ್ರಿತ ಕೋಡ್ ಎಕ್ಸಿಕ್ಯೂಶನ್ ಅನ್ನು ರಿಮೋಟ್ ಆಗಿ ಪ್ರಚೋದಿಸಲು ಅನುಮತಿಸುತ್ತದೆ ಈವೆಂಟ್ ಅನ್ನು ಲಾಗ್ ಮಾಡಲು log4j ಲೈಬ್ರರಿಯನ್ನು ಬಳಸುವ ಅಪ್ಲಿಕೇಶನ್‌ಗೆ ಡೇಟಾವನ್ನು ಕಳುಹಿಸುವ ಸಾಮರ್ಥ್ಯವನ್ನು ನೀವು ಹೊಂದಿದ್ದರೆ.
ಈ ದಾಳಿ ದೃಢೀಕರಣವಿಲ್ಲದೆ ಮಾಡಬಹುದುಉದಾಹರಣೆಗೆ, ದೃಢೀಕರಣ ದೋಷಗಳನ್ನು ಲಾಗ್ ಮಾಡುವ ದೃಢೀಕರಣ ಪುಟವನ್ನು ನಿಯಂತ್ರಿಸುವ ಮೂಲಕ.
ಈ ನ್ಯೂನತೆಯು ಸೈಬರ್ ಭದ್ರತೆಯಲ್ಲಿ ಪರಿಣತಿ ಹೊಂದಿರುವ ಕಂಪನಿಗಳನ್ನು ಈವೆಂಟ್‌ನಲ್ಲಿ ಕೆಲಸ ಮಾಡಲು ಇರಿಸಿದೆ ಮತ್ತು ಈ ನ್ಯೂನತೆಯ ಲಾಭವನ್ನು ಪಡೆಯುವ ದಾಳಿಗಳ ಸಂಖ್ಯೆ ಹೆಚ್ಚುತ್ತಿದೆ ಎಂದು ಸೂಚಿಸುತ್ತದೆ.
ನ ಸದಸ್ಯರು ಅಪಾಚೆ ಸಾಫ್ಟ್‌ವೇರ್ ಫೌಂಡೇಶನ್ ಪ್ಯಾಚ್ ಅನ್ನು ಅಭಿವೃದ್ಧಿಪಡಿಸಿದೆ ದುರ್ಬಲತೆಯನ್ನು ಸರಿಪಡಿಸಲು ಮತ್ತು ಇದು ಆವೃತ್ತಿ 2.15.0 ಆಗಿದೆ, ಜೊತೆಗೆ ಸಂಭವನೀಯ ಪರಿಹಾರಗಳನ್ನು ಸಹ ಅಪಾಯಗಳನ್ನು ಕಡಿಮೆ ಮಾಡಲು ತಿಳಿದಿದೆ.
Apache Log4j ಎಂದರೇನು? ದೋಷ ಎಷ್ಟು ಗಂಭೀರವಾಗಿದೆ?
ಸಮಸ್ಯೆ ಎಷ್ಟು ಗಂಭೀರವಾಗಿದೆ ಎಂದು ಇನ್ನೂ ತಿಳಿದಿಲ್ಲದವರಿಗೆ, ನಾನು ಅದನ್ನು ನಿಮಗೆ ಹೇಳಬಲ್ಲೆ ಡಿಸೆಂಬರ್ 9 ರಂದು, ಎಲ್ ನಲ್ಲಿ ದುರ್ಬಲತೆಯನ್ನು ಕಂಡುಹಿಡಿಯಲಾಯಿತುಗ್ರಂಥಾಲಯವನ್ನು ದಾಖಲಿಸಲು log4j ಅಪಾಚೆ
ಈ ಗ್ರಂಥಾಲಯ ಅಪ್ಲಿಕೇಶನ್ ಅಭಿವೃದ್ಧಿ ಯೋಜನೆಗಳಲ್ಲಿ ವ್ಯಾಪಕವಾಗಿ ಬಳಸಲಾಗುತ್ತದೆ Java / J2EE ಹಾಗೂ Java / J2EE-ಆಧಾರಿತ ಪ್ರಮಾಣಿತ ಸಾಫ್ಟ್‌ವೇರ್ ಪರಿಹಾರ ಪೂರೈಕೆದಾರರು.
ಲಾಗ್4ಜೆ ಪ್ರಶ್ನಿಸಲು ಬಳಸಬಹುದಾದ ಹುಡುಕಾಟ ಕಾರ್ಯವಿಧಾನವನ್ನು ಒಳಗೊಂಡಿದೆ ಫಾರ್ಮ್ಯಾಟ್ ಸ್ಟ್ರಿಂಗ್‌ನಲ್ಲಿ ವಿಶೇಷ ಸಿಂಟ್ಯಾಕ್ಸ್ ಮೂಲಕ. ಉದಾಹರಣೆಗೆ, $ {java: version} ಮೂಲಕ ಜಾವಾ ಪರಿಸರದ ಆವೃತ್ತಿಯಂತಹ ವಿವಿಧ ನಿಯತಾಂಕಗಳನ್ನು ವಿನಂತಿಸಲು ಇದನ್ನು ಬಳಸಬಹುದು.
ನಂತರ ಸ್ಟ್ರಿಂಗ್‌ನಲ್ಲಿ jndi ಕೀಲಿಯನ್ನು ನಿರ್ದಿಷ್ಟಪಡಿಸುವುದು, ಹುಡುಕಾಟ ಕಾರ್ಯವಿಧಾನ JNDI API ಅನ್ನು ಬಳಸಿ. ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ, ಎಲ್ಲಾ ವಿನಂತಿಗಳನ್ನು ಪೂರ್ವಪ್ರತ್ಯಯ ಜಾವಾದೊಂದಿಗೆ ಮಾಡಲಾಗುತ್ತದೆ: comp / env / *; ಆದಾಗ್ಯೂ, ಕೀಲಿಯಲ್ಲಿ ಕೊಲೊನ್ ಅನ್ನು ಬಳಸಿಕೊಂಡು ಕಸ್ಟಮ್ ಪೂರ್ವಪ್ರತ್ಯಯವನ್ನು ಬಳಸುವ ಆಯ್ಕೆಯನ್ನು ಲೇಖಕರು ಕಾರ್ಯಗತಗೊಳಿಸಿದರು.
ಇಲ್ಲಿಯೇ ದುರ್ಬಲತೆ ಇರುತ್ತದೆ: sijndi: ldap: // ಅನ್ನು ಕೀಲಿಯಾಗಿ ಬಳಸಲಾಗುತ್ತದೆ, ವಿನಂತಿಯು ನಿರ್ದಿಷ್ಟಪಡಿಸಿದ LDAP ಸರ್ವರ್‌ಗೆ ಹೋಗುತ್ತದೆ. LDAPS, DNS, ಮತ್ತು RMI ನಂತಹ ಇತರ ಸಂವಹನ ಪ್ರೋಟೋಕಾಲ್‌ಗಳನ್ನು ಸಹ ಬಳಸಬಹುದು.
ಆದ್ದರಿಂದ, ಆಕ್ರಮಣಕಾರರಿಂದ ನಿಯಂತ್ರಿಸಲ್ಪಡುವ ರಿಮೋಟ್ ಸರ್ವರ್ ದುರ್ಬಲ ಸರ್ವರ್‌ಗೆ ವಸ್ತುವನ್ನು ಹಿಂತಿರುಗಿಸಬಹುದು, ಇದು ಸಿಸ್ಟಮ್‌ನಲ್ಲಿ ಅನಿಯಂತ್ರಿತ ಕೋಡ್ ಎಕ್ಸಿಕ್ಯೂಶನ್ ಅಥವಾ ಗೌಪ್ಯ ಡೇಟಾ ಸೋರಿಕೆಗೆ ಕಾರಣವಾಗಬಹುದು.
ಆಕ್ರಮಣಕಾರನು ಮಾಡಬೇಕಾಗಿರುವುದು ವಿಶೇಷ ಸ್ಟ್ರಿಂಗ್ ಅನ್ನು ಕಳುಹಿಸುವುದು ಈ ಸ್ಟ್ರಿಂಗ್ ಅನ್ನು ಲಾಗ್ ಫೈಲ್‌ಗೆ ಬರೆಯುವ ಯಾಂತ್ರಿಕತೆಯ ಮೂಲಕ ಮತ್ತು ಆದ್ದರಿಂದ ಇದನ್ನು Log4j ಲೈಬ್ರರಿಯಿಂದ ನಿರ್ವಹಿಸಲಾಗುತ್ತದೆ.
ಸರಳವಾದ HTTP ವಿನಂತಿಗಳೊಂದಿಗೆ ಇದನ್ನು ಮಾಡಬಹುದು, ಉದಾಹರಣೆಗೆ ವೆಬ್ ಫಾರ್ಮ್‌ಗಳು, ಡೇಟಾ ಕ್ಷೇತ್ರಗಳು, ಇತ್ಯಾದಿಗಳ ಮೂಲಕ ಕಳುಹಿಸಲಾದ ಅಥವಾ ಸರ್ವರ್-ಸೈಡ್ ನೋಂದಣಿಯನ್ನು ಬಳಸಿಕೊಂಡು ಯಾವುದೇ ರೀತಿಯ ಸಂವಹನಗಳೊಂದಿಗೆ.
ಟೆನೆಬಲ್ ದುರ್ಬಲತೆಯನ್ನು "ಕಳೆದ ದಶಕದ ಅತ್ಯಂತ ಪ್ರಮುಖ ಮತ್ತು ನಿರ್ಣಾಯಕ ದುರ್ಬಲತೆ" ಎಂದು ನಿರೂಪಿಸಿದ್ದಾರೆ.
ಪರಿಕಲ್ಪನೆಯ ಪುರಾವೆಯನ್ನು ಈಗಾಗಲೇ ಪ್ರಕಟಿಸಲಾಗಿದೆ. ಈ ದುರ್ಬಲತೆಯನ್ನು ಈಗ ಸಕ್ರಿಯವಾಗಿ ಬಳಸಿಕೊಳ್ಳಲಾಗಿದೆ.
ದುರ್ಬಲತೆಯ ತೀವ್ರತೆ ಗರಿಷ್ಠ CVSS ಮಾಪಕದಲ್ಲಿ 10.
ಪೀಡಿತ ವ್ಯವಸ್ಥೆಗಳ ಪಟ್ಟಿ ಇಲ್ಲಿದೆ:
- Apache Log4j ಆವೃತ್ತಿಗಳು 2.0 ರಿಂದ 2.14.1
- Apache Log4j ಆವೃತ್ತಿಗಳು 1.x (ಬಳಕೆಯಲ್ಲಿಲ್ಲದ ಆವೃತ್ತಿಗಳು) ವಿಶೇಷ ಸಂರಚನೆಗೆ ಒಳಪಟ್ಟಿವೆ.
- Apache Log4j ನ ದುರ್ಬಲ ಆವೃತ್ತಿಯನ್ನು ಬಳಸುವ ಉತ್ಪನ್ನಗಳು - ಯುರೋಪಿಯನ್ ರಾಷ್ಟ್ರೀಯ CERT ಗಳು ಉತ್ಪನ್ನಗಳ ಸಂಪೂರ್ಣ ಪಟ್ಟಿ ಮತ್ತು ಅವುಗಳ ದುರ್ಬಲತೆಯ ಸ್ಥಿತಿಯನ್ನು ನಿರ್ವಹಿಸುತ್ತವೆ
ನೆಟ್‌ವರ್ಕ್ ಲಾಗ್‌ಗಳ ಸಂಪೂರ್ಣ ವಿಶ್ಲೇಷಣೆ ನಡೆಸಲು CERT-FR ಶಿಫಾರಸು ಮಾಡುತ್ತದೆ. URL ಗಳಲ್ಲಿ ಅಥವಾ ಕೆಲವು HTTP ಹೆಡರ್‌ಗಳಲ್ಲಿ ಬಳಕೆದಾರ ಏಜೆಂಟ್ ಆಗಿ ಬಳಸಿದಾಗ ಈ ದುರ್ಬಲತೆಯನ್ನು ಬಳಸಿಕೊಳ್ಳುವ ಪ್ರಯತ್ನವನ್ನು ಗುರುತಿಸಲು ಕೆಳಗಿನ ಕಾರಣಗಳನ್ನು ಬಳಸಬಹುದು
ಅಂತಿಮವಾಗಿ ಅದನ್ನು ಉಲ್ಲೇಖಿಸುವುದು ಯೋಗ್ಯವಾಗಿದೆ ಸಾಧ್ಯವಾದಷ್ಟು ಬೇಗ log2.15.0j ಆವೃತ್ತಿ 4 ಅನ್ನು ಬಳಸಲು ಬಲವಾಗಿ ಶಿಫಾರಸು ಮಾಡಲಾಗಿದೆ.
ಆದಾಗ್ಯೂ, ಈ ಆವೃತ್ತಿಗೆ ವಲಸೆ ಹೋಗುವಲ್ಲಿ ತೊಂದರೆಗಳಿದ್ದಲ್ಲಿ, ಈ ಕೆಳಗಿನ ಪರಿಹಾರಗಳನ್ನು ತಾತ್ಕಾಲಿಕವಾಗಿ ಅನ್ವಯಿಸಬಹುದು:
log2.7.0j ಲೈಬ್ರರಿಯ 4 ಮತ್ತು ನಂತರದ ಆವೃತ್ತಿಗಳನ್ನು ಬಳಸುವ ಅಪ್ಲಿಕೇಶನ್‌ಗಳಿಗೆ, ಬಳಕೆದಾರರು ಒದಗಿಸುವ ಡೇಟಾಕ್ಕಾಗಿ % m {nolookups} ಸಿಂಟ್ಯಾಕ್ಸ್‌ನೊಂದಿಗೆ ಲಾಗ್ ಆಗುವ ಈವೆಂಟ್‌ಗಳ ಸ್ವರೂಪವನ್ನು ಮಾರ್ಪಡಿಸುವ ಮೂಲಕ ಯಾವುದೇ ದಾಳಿಯಿಂದ ರಕ್ಷಿಸಲು ಸಾಧ್ಯವಿದೆ. .
ಈ ಮಾರ್ಪಾಡು ಅಪ್ಲಿಕೇಶನ್‌ನ ಹೊಸ ಆವೃತ್ತಿಯನ್ನು ಉತ್ಪಾದಿಸಲು log4j ಕಾನ್ಫಿಗರೇಶನ್ ಫೈಲ್ ಅನ್ನು ಮಾರ್ಪಡಿಸುವ ಅಗತ್ಯವಿದೆ. ಆದ್ದರಿಂದ, ಈ ಹೊಸ ಆವೃತ್ತಿಯನ್ನು ನಿಯೋಜಿಸುವ ಮೊದಲು ತಾಂತ್ರಿಕ ಮತ್ತು ಕ್ರಿಯಾತ್ಮಕ ಮೌಲ್ಯೀಕರಣದ ಹಂತಗಳನ್ನು ಪುನಃ ಮಾಡುವ ಅಗತ್ಯವಿದೆ.
log2.10.0j ಲೈಬ್ರರಿಯ 4 ಮತ್ತು ನಂತರದ ಆವೃತ್ತಿಗಳನ್ನು ಬಳಸುವ ಅಪ್ಲಿಕೇಶನ್‌ಗಳಿಗಾಗಿ, ಕಾನ್ಫಿಗರೇಶನ್ ಪ್ಯಾರಾಮೀಟರ್ log4j2.formatMsgNoLo ಅನ್ನು ಬದಲಾಯಿಸುವ ಮೂಲಕ ಯಾವುದೇ ದಾಳಿಯಿಂದ ರಕ್ಷಿಸಲು ಸಹ ಸಾಧ್ಯವಿದೆ.
ಕಾಮೆಂಟ್ ಮಾಡಲು ಮೊದಲಿಗರಾಗಿರಿ