CVE-2019-17571/Apache Log4j 1.2.X تحتوي على ثغرة تنفيذ تعليمات برمجية عن بُعد عبر إلغاء التسلسل

الرابط المرجعي للتنبيه بالثغرة: https://mp.weixin.qq.com/s/okU2y0izfnKXXtXG3EfLkQ

1. وصف الثغرة

Apache Log4j هي أداة تسجيل مفتوحة المصدر مبنية على Java تابعة لمؤسسة أباتشي (Apache) البرمجية الأمريكية. توجد ثغرة تنفيذ تعليمات برمجية عن بُعد عبر إلغاء التسلسل في سلسلة إصدارات Apache Log4j 1.2.X. يمكن للمهاجم استغلال هذه الثغرة لتنفيذ أي أوامر ضارة. تحتوي إصدارات Log4j 1.2.X على فئة SocketServer، وهذه الفئة تُخضع البيانات غير الموثوقة بسهولة لعملية إلغاء التسلسل؛ فعند الاستماع إلى حركة مرور شبكة غير موثوقة خاصّة ببيانات السجلات، وعند دمجها مع أدوات إلغاء التسلسل (gadgets)، يمكن استغلال هذه الفئة لتنفيذ أي كود عن بُعد. ويشمل التأثير أحدث إصدار حاليًا.

2. خطورة الثغرة

عالية الخطورة

نطاق التأثير 1.2.4 <= Apache Log4j <= 1.2.17(أحدث إصدار)

توصيات الإصلاح

1. الترقية إلى أحدث إصدار من سلسلة Apache Log4j 2

2. منع تعريض منفذ socket الذي تفتحه هذه الفئة إلى الإنترنت

3. التحقق من الثغرة

منذ عصر Apache Log4j 2.8.1 كانت هناك ثغرة تنفيذ تعليمات برمجية عن بُعد عبر إلغاء التسلسل (CVE-2017-5645)، وكانت الفئة المسبِّبة للثغرة آنذاك هي org.apache.logging.log4j.core.net.server.TcpSocketServer، ومع الانتقال إلى عصر Apache Log4j 1.2.X أصبحت الفئة المسبِّبة للثغرة هي org.apache.log4j.net.SocketServer