La storia infinita di Log4j. Rilasciata il 27 dicembre la 2.17.1 la correzione per un’altra RCE.

Redazione RHC : 29 Dicembre 2021 09:32

L’Apache Software Foundation (ASF) martedì 27 dicembre, ha rilasciato nuove patch per contenere un difetto di esecuzione del codice arbitrario in Log4j che potrebbe essere abusato dagli attori delle minacce per eseguire codice sui sistemi interessati, rendendolo il quinto difetto di sicurezza scoperto nella libreria nell’arco di un mese.

Tracciata come CVE-2021-44832 , la vulnerabilità ha una severity di 6,6 su una scala di 10 e ha un impatto su tutte le versioni della libreria di log dalla 2.0-alpha7 alla 2.17.0 con l’eccezione di 2.3.2 e 2.12.4.

Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)? Stiamo per avviare il corso intermedio in modalità "Live Class" del corso "Dark Web & Cyber Threat Intelligence".  A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.   Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato. Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.  Guarda subito l'anteprima gratuita del corso su academy.redhotcyber.com Contattaci per ulteriori informazioni tramite WhatsApp al 375 593 1011 oppure scrivi a [email protected] Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Sebbene le versioni 1.x di Log4j non siano interessate, si consiglia agli utenti di eseguire l’aggiornamento a Log4j 2.3.2 (per Java 6), 2.12.4 (per Java 7) o 2.17.1 (per Java 8 e versioni successive).

“Le versioni di Apache Log4j2 dalla 2.0-beta7 alla 2.17.0 (escluse le versioni di correzione della sicurezza 2.3.2 e 2.12.4) sono vulnerabili a un attacco di esecuzione di codice remoto (RCE) in cui un utente malintenzionato con il permesso di modificare il file di configurazione della registrazione può creare un configurazione utilizzando un Appender JDBC con un’origine dati che fa riferimento a un URI JNDI che può eseguire codice remoto”

ha affermato l’ASF in un avviso.

“Questo problema viene risolto limitando i nomi delle origini dati JNDI al protocollo java nelle versioni Log4j2 2.17.1, 2.12.4 e 2.3.2.”

Sebbene l’ASF non abbia assegnato crediti per il problema, il ricercatore di sicurezza di Checkmarx Yaniv Nizry ha rivendicato il merito per aver segnalato la vulnerabilità ad Apache il 27 dicembre.

“La complessità di questa vulnerabilità è maggiore rispetto all’originale CVE-2021-44228 poiché richiede all’attaccante di avere il controllo sulla configurazione”

ha osservato Nizry .

“A differenza di Logback, in Log4j c’è una funzione per caricare un file di configurazione remoto o per configurare il logger tramite il codice, quindi un’esecuzione di codice arbitrario potrebbe essere ottenuta con un attacco di MitM, il payload finisce in una variabile di configurazione vulnerabile, o modificando il file di configurazione”.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli