Log4Shell ist eine kritische Lücke in der Bibliothek Log4j, durch die protokollierter fremder Text zu entfernter Codeausführung werden konnte.
Anwendungen, die nutzergesteuerte Eingaben auf verwundbaren Versionen in Protokolle schrieben, konnten dazu gebracht werden, Code von einem fernen Server zu laden.
So funktioniert es
Das gefährliche Verhalten war eine Nachschlagefunktion in der Protokollbibliothek und nicht ein Fehler in jedem Java Programm, das lediglich einen Namen auf dem Bildschirm zeigte.
Weil Protokollierung weit verbreitet ist, waren viele aus dem Internet erreichbare und interne Dienste exponiert, bis die Bibliothek aktualisiert oder die Nachschlagefunktion nach Herstellervorgabe abgeschaltet wurde.
Diese Seite wiederholt die Angriffszeichenfolge nicht, denn die nützlichen Fakten sind die Wirkung, die betroffene Komponente und die Reparatur.
Organisationen haben Log4j gepatcht, ausgehende Nachschlagen von Servern eingeschränkt, die sie nicht brauchten, und nach Diensten gesucht, die noch alte Stände liefen.
Konkrete Beispiele
- Ein öffentliches Suchfeld schrieb die Abfrage in ein Protokoll, und ein verwundbarer Bibliotheksstand behandelte einen Teil dieser Abfrage als Anweisung, fernen Code zu holen.
- Ein internes Verwaltungswerkzeug wurde in der ersten Patchwelle übersehen, weil es nicht im öffentlichen Inventar der Internetdienste stand.
- Ein Gerätehersteller blieb verwundbar, bis der Lieferant ein Firmware Abbild lieferte, das die mitgelieferte Bibliothek ersetzte.
Schutzmaßnahmen
- Aktualisieren Sie Log4j auf eine vom Hersteller behobene Version und bestätigen Sie den laufenden Stand, nicht nur die Kopie im Quellverzeichnis.
- Erfassen Sie Java Dienste, Appliances und verschachtelte Bibliotheken, damit eine mitgezogene Kopie nicht fehlt.
- Hindern Sie Server an unerwarteten ausgehenden Verbindungen, die ein Protokollnachschlagen brauchen würde.
- Führen Sie ein Softwareinventar, das bei der nächsten Bibliothekslücke beantworten kann, wo eine Komponente wirklich läuft.