Vulnerabilità in Log4j

Aggiornamento 19.12.2021: Continuano a essere scoperte nuove vulnerabilità e nuovi modi di sfruttarle in Log4j. Abbiamo aggiunto tre diagrammi di flusso (mind map) al repository git che descrivono rispettivamente versione vulnerabile di Log4j, come verificare se si è vulnerabili e mitigazione delle varie vulnerabilità.

Raccomandazione

Log4j v2.x:

• Identificare il software che utilizza Log4j versione 2.x

• Mitigare le vulnerabilità in Log4j

  • Aggiornare il software che utilizza Log4j a una versione che utilizza Log4j 2.17.0

  Se quanto sopra non è possibile

  • Assicurarsi che le misure di mitigazione per CVE-2021-44228 e CVE-2021-45046 siano state implementate, nota che così si è vulnerabili a DoS
  • Se i sistemi sono particolarmente critici, valutare di cercare Context Lookups nei Pattern Layouts nella configurazione di Log4j2

Log4j v1.x:

• Identificare il software che utilizza Log4j versione 1.x.

• Se Log4j versione 1.x viene utilizzata nell'organizzazione, avviare un dialogo con il fornitore e richiedere che

  • Aggiornino a Log4j versione 2.x
  • oppure passino a un'altra libreria per il logging

Le vulnerabilità

Per Java 8, Log4j v. 2.17.0 è l'ultima versione. Mitiga tutte le vulnerabilità sopra.

La versione 2.16.0 mitiga le peggiori vulnerabilità.

Per Java 7, Log4j è stato rilasciato nella versione 2.12.2. Questa non mitiga CVE-2021-45105. Il team di Log4j afferma inoltre che né Java 6 né Java 7 sono più supportati. Non è chiaro se rilasceranno un ulteriore aggiornamento di sicurezza per Log4j su Java 7.

Il diagramma di flusso "Mind map #1" fornisce una buona panoramica delle condizioni per sapere se si hanno le diverse vulnerabilità.

Realizzato da Loïc Castel. Tratto da github.

Scoprire se si è vulnerabili

Parte della sfida è che non sono necessariamente i server esposti direttamente a Internet a essere vulnerabili. La vulnerabilità può trovarsi in un server più indietro nella 'catena' che riceve gli stessi dati e li registra. Questo può rendere difficile sapere cosa è esposto e cosa no.

Il diagramma di flusso "Mind map #2" fornisce una buona panoramica su come controllare i propri sistemi per le vulnerabilità.

Realizzato da Loïc Castel. Tratto da github.

- User-agent
- Campo di ricerca
- Nome utente
- ...

Get-PSDrive -PSProvider FileSystem | foreach {(gci ($_.Root) -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

Get-CimInstance win32_volume | Where-Object { $_.DriveType -eq 3 -and $_.DriveLetter -ne $null} | ForEach-Object {(gci ($_.DriveLetter+"\") -rec -force -include *.jar -ea 0 | foreach {select-string "JndiLookup.class" $_} | select -exp Path)}

Get-WinEvent -ListLog * |
  foreach { get-winevent @{logname=$_.logname; } -ea 0 } |
  where message -match 'jndi'

#!/bin/bash
find / -name '*log4j*.jar' -print0 2>/dev/null -print0 | while read -d $'\0' log4j; do
        echo -en "${log4j}: "$(unzip -p "${log4j}" | strings | grep -Po '^Implementation-Version:\s+([0-9\.]+)' | awk '{ print $NF }')"\n"
done
exit 0

Mitigare la vulnerabilità

Il diagramma di flusso "Mind map #3" fornisce una panoramica delle opzioni di mitigazione.

Realizzato da Loïc Castel. Tratto da github.

Di seguito abbiamo elencato alcune risorse per eseguire le mitigazioni.

[Environment]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/HEAD/:SetEnvironmentVariable(%22LOG4J_FORMAT_MSG_NO_LOOKUPS%22,%22true%22,%22Machine%22)

"‐Dlog4j2.formatMsgNoLookups=True"

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" teku --network mainnet

JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true -Xmx4g" teku

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true"'

Environment='JAVA_OPTS="-Dlog4j2.formatMsgNoLookups=true" "-Xmx4g'

[Reflection.Assembly]:https://raw.githubusercontent.com/helsecert/cve-2021-44228/HEAD/:LoadWithPartialName(%27System.IO.Compression%27)
$JarFilLokasjon = 'C:\temp\log4j-core-2.13.0-test.jar'
$Filnavn   = 'JndiLookup.class' #Denne filen slettes!

$Stream = New-Object IO.FileStream($JarFilLokasjon, [IO.FileMode]::Open)
$ZipMode   = [IO.Compression.ZipArchiveMode]::Update
$Zip    = New-Object IO.Compression.ZipArchive($stream, $ZipMode)

($zip.Entries | Where-Object { $Filnavn -contains $_.Name }) | ForEach-Object { $_.Delete() }
$zip.Dispose()
$stream.Close()
$stream.Dispose()

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

Elenchi di software interessato

https://github.com/NCSC-NL/log4shell/tree/main/software

https://gist.github.com/SwitHak/b66db3a06c2955a9cb71a8718970c592

https://github.com/cisagov/log4j-affected-db