Cổng thông tin điện tử tỉnh thanh hóa

Huyện Quan Sơn

Thứ sáu, ngày 1 tháng 7 năm 2022

Bản sửa lỗi Log4Shell có thể dẫn đến các cuộc tấn công DoS

Đăng ngày 28 - 12 - 2021
100%

Không chỉ là việc lỗ hổng nghiêm trọng trong Apache Log4j vẫn đang phổ biến, một bản vá lỗi nhanh cho Log4Shell cũng lại đang có những lỗ hổng.

Cùng với việc một lỗ hổng dễ bị khai thác và cực kỳ nguy hiểm trong thư viện ghi nhật ký Java - Apache Log4j đã được công bố rộng rãi trong thời gian qua, các nhà nghiên cứu hiện cũng đã tìm thấy một lỗ hổng mới trong bản vá của Apache được phát hành để giảm thiểu những hậu quả do Apache Log4j gây ra. Ngày 9/12, các nhà nghiên cứu bảo mật đã bắt đầu cảnh báo, một lỗ hổng được theo dõi là CVE-2021-44228 trong Apache Log4j đang bị tấn công tích cực. Một loạt tin tặc đã ngay lập tức tấn công Log4Shell, ban đầu là để kích hoạt mã độc trên máy chủ hoặc máy khách chạy bản Java của Minecraft bằng cách thao tác các tin nhắn nhật ký, bao gồm cả tin nhắn văn bản. Sau đó, những kẻ tấn công bắt đầu phân nhánh, tạo ra 60 đột biến chỉ trong vòng một ngày. Và Apache đã phải vội vàng phát hành một bản vá để sửa lỗi Log4Shell - phiên bản Log4j 2.15.0 vào ngày 10/12.

Nhưng sau đó, các nhà nghiên cứu lại đã phát hiện ra rằng, trong một số trường hợp nhất định, bản sửa lỗi này "không hoàn chỉnh với một số cấu hình không phải mặc định" và mở đường cho các cuộc tấn công từ chối dịch vụ (DoS), theo lời khuyên từ Apache.org.

Theo Apache.org, lỗ hổng mới được phát hiện là CVE-2021-45046, có thể cho phép những kẻ tấn công có quyền kiểm soát dữ liệu đầu vào "Bản đồ ngữ cảnh luồng" (MDC), tạo ra dữ liệu đầu vào độc hại bằng cách sử dụng mẫu "Tra cứu giao diện thư mục và đặt tên Java" (JNDI) trong một số trường hợp nhất định, dẫn đến một cuộc tấn công DoS.

Việc thiết lập để khai thác là khi cấu hình ghi nhật ký sử dụng "Bố cục mẫu không mặc định" với "Tra cứu ngữ cảnh" - ví dụ: $$ {ctx: loginId} - hoặc mẫu "Bản đồ ngữ cảnh chuỗi" (% X,% mdc hoặc% MDC), theo Apache.org.

Vẫn theo Apache.org, "Log4j 2.15.0 hạn chế tra cứu JNDI LDAP (một giao thức phát triển trên chuẩn X500, dạng client-server sử dụng để truy cập một dịch vụ thư mục, cho phép người dùng xác định cấu trúc và đặc điểm của thông tin trong thư mục) đối với máy chủ cục bộ theo mặc định. Lưu ý rằng các biện pháp giảm nhẹ trước đây liên quan đến cấu hình, chẳng hạn như đặt thuộc tính hệ thống `log4j2.noFormatMsgLookup` thành `true` không làm giảm thiểu lỗ hổng cụ thể này."

Khắc phục sự cố

Theo lời khuyên từ Apache.org, bản phát hành mới của Log4j, phiên bản 2.16.0, khắc phục sự cố bằng cách xóa hỗ trợ cho các mẫu tra cứu thông báo và tắt chức năng JNDI. Apache.org khuyến cáo, để giảm thiểu lỗi trong các bản phát hành Log4j trước đó, các nhà phát triển có thể xóa lớp JndiLookup khỏi classpath.

Một chuyên gia bảo mật lưu ý, có thể Apache đã vội vàng phát hành bản vá cho Log4Shell sau khi có sự hoảng loạn ban đầu về việc phát hiện ra Log4Shell.

John Bambenek tại Netenrich, nhận xét: "Việc gấp rút đưa ra các bản vá để sửa lỗ hổng thường đồng nghĩa với việc sửa chữa đó có thể không hoàn hảo. Ông cho biết giải pháp cho vấn đề là "vô hiệu hóa hoàn toàn chức năng của JNDI."

Vì ít nhất một chục nhóm đã được biết đến là đang khai thác các lỗ hổng này, ông kêu gọi hành động ngay lập tức để vá, xóa JNDI khỏi Log4j hoặc đưa nó ra khỏi classpath - "tốt nhất là tất cả những điều trên," Bambenek nói.

Xử lý tình huống

Một chuyên gia bảo mật khác lưu ý, các nhà nghiên cứu và chuyên gia bảo mật vẫn đang quan tâm đến những tác động sâu rộng của Log4Shell cũng như khả năng còn tồn tại đối với các lỗi liên quan khác.

Casey Ellis, nhà sáng lập và là CTO (giám đốc công nghệ) tại Bugcrowd cho biết: "Khi một lỗ hổng được phát hiện và thu hút được sự quan tâm của mọi người như Log4Shell, nó luôn báo hiệu rằng có thêm lỗ hổng trong cùng một phần mềm hoặc các bản sửa lỗi cho phần mềm đó, và sẽ kích hoạt nghiên cứu, khám phá bổ sung". 

Thật vậy, đã có một số nhầm lẫn về số lượng lỗ hổng bảo mật hiện đang tồn tại có liên quan đến Log4Shell và tất cả chúng tương quan với nhau như thế nào, làm tăng thêm lượng thông tin được công bố về lỗi này, các nhà nghiên cứu từ RiskBased Security đã viết trong một bài đăng trên blog.

Theo nhóm RiskBased Security, ở thời điểm hiện tại, có ba CVE đã xuất bản được liên kết với Log4Shell - CVE-2021-44228, zero-day ban đầu; CVE-2021-45046, "bản sửa lỗi không hoàn chỉnh"; và CVE-2021-4104, một lỗ hổng được tìm thấy trong một thành phần khác của Log4j, JMSAppender, dường như không đáng lo ngại, 

Trong trường hợp của CVE-2021-44228, các nhà nghiên cứu cho rằng nó không phải là một vấn đề mới, "nhưng thực sự là cùng một lỗ hổng".

Các nhà nghiên cứu viết: "MITER và Cơ quan đánh số CVE (CNA) sẽ chỉ định ID CVE thứ hai trong trường hợp các bản sửa lỗi không hoàn toàn vá được một sự cố an toàn thông tin" 

Và mặc dù có nhiều hơn một CVE nhưng "nhiều nơi đã coi chúng như một vấn đề duy nhất, song điều này chắc chắn không phải như vậy," theo RiskBased Security.

Tệ hơn trước khi trở nên tốt hơn

Một điều chắc chắn về "bộ phim kịch tính" xung quanh Log4Shell là phạm vi các cuộc tấn công vào lỗ hổng bảo mật này rất rộng lớn, nên có nhiều tiềm năng để khai thác sâu hơn, theo RiskBased Security.

Các nhà nghiên cứu đã viết: "Điều quan trọng phải nói rằng, Log4j là một khung ghi nhật ký phổ biến trong Java. Điều này có nghĩa là nó được sử dụng trong một số công việc đặc biệt".

Thật vậy, một danh sách dài các sản phẩm của các nhà cung cấp dễ bị tấn công bởi Log4Shell, bao gồm: Broadcom, Cisco, Elasticsearch, F-secure, Fedora, HP, IBM, Microsoft, National Security Agency (NSA), RedHat, SonicWall và VMWare.

Chỉ trong vòng vài giờ kể từ khi công khai lỗ hổng, những kẻ tấn công đã quét tìm các máy chủ dễ bị tấn công và tung ra các cuộc tấn công để đưa các công cụ khai thác tiền điện tử, phần mềm độc hại Cobalt Strike, ransomware Khonsari mới, trojan truy cập từ xa Orcus (RAT). đảo ngược bash shell cho các cuộc tấn công trong tương lai, Mirai và các botnet khác, và backdoor.

Bất cứ điều gì cũng có thể xảy ra trong tương lai, vì các biến thể từ nguyên mẫu được sử dụng cách khai thác ban đầu tiếp tục được tạo ra và những kẻ tấn công tiếp tục hoạt động, tình hình có thể trở nên tồi tệ hơn trước khi nó trở nên tốt hơn. Điều này có nghĩa là "bụi" trên Log4Shell có thể sẽ không "lắng xuống" trong một thời gian dài.

"Lỗ hổng Log4j mới này có thể sẽ ám ảnh chúng ta trong nhiều năm tới," theo RiskBased Security.

Và thật đáng buồn, theo Chris Goettl, Phó chủ tịch quản lý sản phẩm của Ivanti: "Các nỗ lực xác định, giảm thiểu hoặc khắc phục lỗ hổng Apache Log4j vẫn tiếp tục. Trong trường hợp này, rất nhiều đội đã thất vọng vì họ không biết chính xác mình cần phải làm gì. Apache Log4j là một thư viện phát triển, vì vậy bạn không thể chỉ vá một tệp JAR cụ thể. Việc xử lý sự cố này thuộc về nhóm phát triển hoặc các nhà cung cấp sản phẩm mà bạn đang sử dụng".

<

Tin mới nhất

Tăng cường công tác thông tin tuyên truyền về chuyển đổi số trên địa bàn huyện(6/20/2022 10:55 AM)

Hội nghị tập huấn hướng dẫn, triển khai mô hình chuyển đổi số cấp huyện, cấp xã(6/10/2022 4:32 PM)

Cẩm nang chuyển đổi số(6/8/2022 10:42 AM)

Một số lưu ý khi thanh toán trực tuyến trên sàn thương mại điện tử(6/1/2022 1:49 PM)

Thanh Hóa: Thảo luận giải pháp hỗ trợ chuyển đổi số cho doanh nghiệp(5/24/2022 4:40 PM)

Giới thiệu về Chuyển đổi số và định hướng nhiệm vụ năm 2022(5/11/2022 4:48 PM)

Kế hoạch triển khai Nền tảng địa chỉ số quốc gia gắn với bản đồ số tại Thanh Hoá(4/13/2022 10:35 AM)

Chủ trương chuyển đổi IPv6 trong cơ quan nhà nước(4/1/2022 7:51 AM)

Hướng dẫn thí điểm triển khai Tổ công nghệ số cộng đồng tại các địa phương(3/9/2022 7:57 PM)

Đẩy mạnh ứng dụng công nghệ thông tin và chuyển đổi số trong hoạt động xúc tiến thương mại giai...(1/27/2022 7:25 PM)

Xã hội số, công dân số, văn hóa số là gì?(1/18/2022 3:45 PM)

Chuyển đổi số cơ quan nhà nước là gì?(1/13/2022 3:48 PM)

Chuyển đổi số là gì? Xu hướng tất yếu trong cách mạng 4.0(1/12/2022 9:05 AM)

Đánh giá của bạn về cổng thông tin điện tử
195 người đã bình chọn
364 người đang online