Monitoramento de explorações do Log4j2 com Silverfort
12 de Dezembro de 2021 Yaron Kassner
Apache Log4j é um utilitário de registro de código aberto baseado em Java amplamente usado por aplicativos corporativos. A comunidade de segurança descobriu recentemente uma nova vulnerabilidade Log4jl (CVE-2021-44228) que permite que um invasor remoto que controla campos de log em alguns aplicativos explore o Log4j para executar código remotamente em um aplicativo alvo. Por exemplo, um invasor pode fazer com que um aplicativo registre um campo que contém uma string no formato ${jndi: }. Se o invasor fizer com que o aplicativo registre uma string no formato ${jndi: }, o aplicativo acessará o URL ldap://example.com/a para carregar um objeto. Se o hacker controlar example.com, o invasor poderá usar essa vulnerabilidade para carregar um objeto de sua escolha na memória do aplicativo.
Esta vulnerabilidade foi comparada ao HeartBleed e ao ShellShock devido ao seu amplo impacto. A maioria dos aplicativos que usam Java usam log4j2 para criação de log, portanto, uma grande variedade de aplicativos e sistemas em seu ambiente podem ser afetados. Existem vários relatos de uso em massa desta vulnerabilidade, bem como um número crescente de variantes de exploração; mais de 60 deles apareceram 24 horas após a divulgação inicial da vulnerabilidade.
Silverfort revisou seu código e não encontrou uso vulnerável de log4j2 pelo produto.
De acordo com o CloudFlare, a vulnerabilidade já está sendo explorada e os invasores costumam usar o campo de nome de usuário para explorar essa vulnerabilidade. Isso faz sentido porque o campo nome de usuário geralmente é registrado em caso de falha autenticação pedidos.
Silverfort monitora todas as solicitações de autenticação no ambiente e pode ser usado para auditar essas explorações do Log4Shell, relatando o uso da string “${jndi:” em solicitações de autenticação. As equipes de segurança são aconselhadas a atualizar seus softwares o mais rápido possível, bem como a verificar se seus servidores vulneráveis podem ter sido comprometidos antes do patch.
Questões? Estamos sempre SUA PARTICIPAÇÃO FAZ A DIFERENÇA para você. teste
