Aplikacje / DATA PUBLICZNEGO OGŁOSZENIA
Log4Shell: wykonanie kodu przez bibliotekę do zapisu logów
Biblioteka zapisująca komunikaty aplikacji stała się drogą do zdalnego wykonania kodu.
Co się wydarzyło?
Informacje o Log4Shell upubliczniono 9 grudnia 2021 roku. W kolejnych dniach pojawiały się oficjalne komunikaty i działania dostawców oprogramowania. Problem dotyczył mechanizmów JNDI w Log4j. Dane kontrolowane przez napastnika mogły zostać zinterpretowane podczas zapisu do logu.
Biblioteka bywała częścią innej aplikacji, dlatego nie zawsze było widać ją na liście zainstalowanych usług. Po pierwszej poprawce ujawniono dalsze problemy z tej rodziny. Nie należy traktować historycznego wydania 2.15.0 jako dzisiejszego celu aktualizacji.
Co to oznacza dla administratora?
Inwentaryzacja powinna obejmować zależności aplikacji i obrazy kontenerów. Przy pilnym zagrożeniu trzeba ustalić, gdzie rzeczywiście działa podatny komponent, a potem zweryfikować skuteczność aktualizacji.