CVE-2019-17571/Apache Log4j 1.2.X में deserialization रिमोट कोड एक्सीक्यूशन भेद्यता

भेद्यता चेतावनी संदर्भ लिंक: https://mp.weixin.qq.com/s/okU2y0izfnKXXtXG3EfLkQ

1. भेद्यता विवरण

Apache Log4j अमेरिकी Apache सॉफ्टवेयर फाउंडेशन का एक Java आधारित ओपन-सोर्स लॉगिंग टूल है। Apache Log4j 1.2.X श्रृंखला संस्करणों में deserialization रिमोट कोड एक्सीक्यूशन भेद्यता मौजूद है। हमलावर इस भेद्यता का उपयोग करके कोई भी दुर्भावनापूर्ण कमांड निष्पादित कर सकते हैं। Log4j 1.2.X में एक SocketServer क्लास शामिल है, जो अविश्वसनीय डेटा को deserialize करने में आसान है। जब लॉग डेटा के लिए अविश्वसनीय नेटवर्क ट्रैफिक सुनते समय, deserialization गैजेट के साथ संयोजन में उपयोग किए जाने पर, इस क्लास का उपयोग रिमोट से मनमाना कोड निष्पादित करने के लिए किया जा सकता है। प्रभाव में वर्तमान नवीनतम संस्करण शामिल है।

2. भेद्यता का खतरा

उच्च जोखिम

प्रभावित क्षेत्र 1.2.4 <= Apache Log4j <= 1.2.17 (नवीनतम संस्करण)

सुधार सुझाव

1. Apache Log4j 2 श्रृंखला के नवीनतम संस्करण में अपग्रेड करें

2. इस क्लास द्वारा खोले गए सॉकेट पोर्ट को इंटरनेट पर उजागर करने पर रोक लगाएं

3. भेद्यता सत्यापन

Apache Log4j 2.8.1 युग में भी deserialization रिमोट कोड एक्सीक्यूशन भेद्यता (CVE-2017-5645) मौजूद थी, उस समय ट्रिगर होने वाला भेद्यता वर्ग org.apache.logging.log4j.core.net.server.TcpSocketServer था। Apache Log4j 1.2.X युग में, भेद्यता वर्ग org.apache.log4j.net.SocketServer में बदल गया।