Błąd bezpieczeństwa w bibliotece Apache Log4j okazał się wyjątkowo niebezpieczny dla wielu firm i przedsiębiorstw. Jakie kroki podjąć, aby uniknąć zagrożenia związanego z tą podatnością?
- Czym jest Apache Log4j
Apache Log4j to biblioteka języka Java, której głównym zadaniem jest generowanie logów podczas działania aplikacji. Ta wieloplatformowa biblioteka powstała, aby ułatwić sprawdzanie wartości zmiennych i bieżącego stanu aplikacji. Warto dodać, że jest to jedna z bibliotek wykorzystywanych komercyjnie przez bardzo wiele aplikacji.
- Podatność Log4j i jej konsekwencje
Krytyczna podatność wykryta w bibliotece Log4j pozwala na zdalne wykonanie kodu z uprawnieniami danej aplikacji. Daje to atakującemu możliwość pobrania ładunku (payloadu) ze zdalnego serwera i wykonania go lokalnie. Wykorzystanie tej słabości jest dla hakerów bardzo proste i pozwala im skanować dostępne usługi w poszukiwaniu możliwości ataku. Jeden z ataków wykorzystujących podatność Log4j może wyglądać następująco:
- Aplikacja loguje zdarzenia, takie jak nieudane logowania użytkowników, zapisując wartości takie jak login czy e-mail
- Haker loguje się, podając jako nazwę użytkownika złośliwy payload (fragment przesyłanych danych), korzystając z serwera kontrolowanego przez atakującego
- Payload wyzwala błąd w Log4j, przez co serwer wysyła żądanie przez JNDI (Java Naming and Directory Interface)
- W odpowiedzi atakujący uzyskuje ścieżkę do zdalnego pliku klasy Java, który zostaje zaaplikowany do procesora serwera
- Zaaplikowany payload pozwala hakerom wykonać dowolny kod
Konsekwencją takiego ataku jest uzyskanie przez atakującego możliwości wykonywania dowolnych poleceń na serwerze.
- Kto jest zagrożony?
Wektor ataku nie ogranicza się do aplikacji webowych, co oznacza, że w konsekwencji zagrożone są wszystkie aplikacje napisane w języku Java, które korzystają z biblioteki Apache Log4j. Co więcej, podatność ta występuje niezależnie od używanej wersji Java Development Kit. Skuteczny atak wymaga jednak wysłania przez atakującego odpowiedniej komunikacji protokołem HTTP/HTTPS lub innym.
- Rekomendacje
Po wykryciu podatności najbardziej rekomendowaną wersją biblioteki Log4j stała się wersja 2.16.0. Priorytetem jest sprawdzenie i załatanie systemów dostępnych z internetu oraz zasobów krytycznych dla działania firmy lub organizacji. Kolejnym ważnym krokiem są aktualizacje oprogramowania. Są to jednak zadania, którymi powinni zająć się specjaliści.
Aby uniknąć zagrożenia, warto skorzystać z usług wykrywających podatność Log4j, takich jak oprogramowanie ReconMore. Analiza infrastruktury za pomocą ReconMore sprawdzi, czy występuje w niej Log4j, i wykryje wszelkie słabe punkty. Takie skanowanie pomaga zapobiec niechcianym zagrożeniom związanym z podatnością Log4j.
Pierwsze ataki na podatne serwery są już za nami. Podatność Log4j jest wyjątkowo złośliwa i łatwa do wykorzystania. Wszystko to sprawia, że lukę trzeba usunąć natychmiast, aby zrekonfigurować mechanizm logowania i zapobiec jej dalszemu wykorzystaniu w atakach.