CVE-2021-44228 (Log4Shell): verifica e correzione

Cosa è colpito

È colpito solo log4j-core di Log4j 2, e solo da 2.0-beta9 fino alla correzione. Log4j 1.x non è colpito da questa CVE, ma è a fine vita dal 2015 e ha falle sue. Le applicazioni Java basate su Log4j 2 (application server, motori di ricerca, applicazioni su misura) portano la libreria nelle proprie cartelle, spesso dentro un .war o un .jar fat, non come pacchetto di sistema.

La prima correzione, 2.15.0, era incompleta in alcune configurazioni (CVE-2021-45046), e sono seguiti altri due problemi (CVE-2021-45105 e CVE-2021-44832). Per questo oggi l'obiettivo è 2.17.1 o successiva su Java 8, 2.12.4 su Java 7 e 2.3.2 su Java 6.

Verificare se un server ce l'ha

Cerca i file log4j-core, poi gli archivi che lo includono. La versione è nel nome del file:

sudo nice -n 19 ionice -c3 find / -xdev -type f -name 'log4j-core-*.jar' 2>/dev/null

sudo nice -n 19 ionice -c3 find / -xdev -type f \( -name '*.jar' -o -name '*.war' -o -name '*.ear' \) 2>/dev/null \
  | while read -r f; do
      unzip -l "$f" 2>/dev/null \
        | grep -qE 'log4j/core/lookup/JndiLookup\.class|log4j-core-[0-9][^/]*\.jar' && echo "$f"
    done

Per un'applicazione che compili tu, chiedi allo strumento di build quale versione include davvero:

mvn dependency:tree -Dincludes=org.apache.logging.log4j:log4j-core

Per vedere se qualcuno ci ha provato, cerca i lookup nei log di accesso del web server (gli attaccanti li mettono anche negli header, che questi log non registrano):

sudo grep -rhiE '\$\{jndi|%24%7Bjndi|\$\{\$\{' --include='*access*' --exclude='*.gz' /var/log/apache2 /var/log/httpd 2>/dev/null | tail -20

Correggere

1. Software di un fornitore: installa la release del fornitore che include Log4j 2.17.1 o successiva.
2. La tua applicazione: porta log4j-core (e log4j-api) a 2.17.1 o successiva, oppure 2.12.4 su Java 7 e 2.3.2 su Java 6, ricompila e ripubblica. Controlla con lo strumento di build che nessun'altra dipendenza riporti dentro una copia più vecchia.
3. Riavvia l'applicazione: una JVM in esecuzione tiene le vecchie classi fino ad allora.
4. Ripeti la ricerca qui sopra: non deve restare nessun log4j-core vecchio, anche nei backup di applicazioni pubblicate che potrebbero essere ripubblicate.

<dependency>
  <groupId>org.apache.logging.log4j</groupId>
  <artifactId>log4j-core</artifactId>
  <version>2.17.1</version>
</dependency>

Fonti

I dati di questa pagina vengono da queste fonti; controllale per eventuali aggiornamenti.

• NVD: CVE-2021-44228
• Catalogo CISA Known Exploited Vulnerabilities: CVE-2021-44228
• Apache Logging Services: Log4j security vulnerabilities
• NVD: CVE-2021-44832