9NOTES

ตามที่Microsoft Security Response Teamระบุ ช่องโหว่ 0 วันของ Apache Log4j อนุญาตให้เรียกใช้โค้ดจากระยะไกลโดยไม่ได้ตรวจสอบสิทธิ์ และเริ่มทำงานเมื่อสตริงที่สร้างขึ้นเป็นพิเศษโดยผู้โจมตีผ่านอินพุตเวกเตอร์ต่างๆ แยกวิเคราะห์และประมวลผลโดยคอมโพเนนต์ที่มีช่องโหว่ Log4j 2 การโจมตีเกิดขึ้นไม่ถึงหนึ่งวันหลังจากการรายงาน และ Netlab แผนกความปลอดภัยเครือข่ายของ Qihoo 360 ยักษ์ใหญ่ด้านเทคโนโลยีของจีน เปิดเผยว่าผู้โจมตีเช่นMirai และ  Muhstik  (หรือที่เรียกว่า Tsunami) ยังคงมองหาเซิร์ฟเวอร์ที่มีช่องโหว่เพื่อใช้ประโยชน์

ในปัจจุบัน ช่องโหว่นี้หรือที่เรียกว่า  CVE-2021-44228ในปัจจุบันมีคะแนนพื้นฐานของเมทริกซ์ความเสี่ยงที่ 10 ซึ่งเป็นความเสี่ยงสูงสุดตามคำแนะนำของ Oracleและถูกระบุว่าเป็นระดับความรุนแรงที่สำคัญโดยGitHub

 

คุณได้รับผลกระทบหรือไม่?

เพื่อตรวจสอบว่าแอปพลิเคชันของคุณได้รับผลกระทบจากช่องโหว่นี้หรือไม่:

• กำหนดเวอร์ชัน Log4j ปัจจุบันของคุณและอัปเดต ทุกเวอร์ชันก่อน2.16.0ได้รับผลกระทบ ขอแนะนำเนื่องจากพบว่า Apache Log4j 2.15.0 ไม่สมบูรณ์ในการกำหนดค่าที่ไม่ใช่ค่าเริ่มต้นบางอย่าง ช่องโหว่นี้เรียกว่า ” CVE-2021-45046 ” ทำให้เวอร์ชันก่อนหน้ามีความเสี่ยงต่อการถูกโจมตี ด้วยเหตุนี้ Log4j 2.16.0 จึงสามารถแก้ไขปัญหานี้ได้โดยลบการสนับสนุนสำหรับรูปแบบการค้นหาข้อความและปิดใช้งานฟังก์ชัน JNDI ตามค่าเริ่มต้น
• กำหนดเวอร์ชัน Java ปัจจุบันของคุณและอัปเดต ทุกเวอร์ชันที่ต่ำกว่าเวอร์ชันด้านล่างมีความเสี่ยง:
  • Java 6 – 6u212
  • Java 7 – 7u202
  • ชวา 8 – 8u192
  • Java 11 – 11.0.2

หากแอปพลิเคชันมีปัญหาทั้ง Java และ Log4j ตามคำแนะนำของ Certnzจะได้รับผลกระทบอย่างแน่นอน แต่คุณยังสามารถตรวจสอบช่องโหว่โดเมนของคุณโดยใช้เครื่องมือทดสอบเปิดแหล่งที่มาเช่น  GitHub – log4shell-ทดสอบ

 

Log4j โซลูชั่น?

 ดาวน์โหลด Log4j เวอร์ชั่น 2.16.0 (หากคุณไม่สามารถอัพเกรดได้ ให้ทำตามขั้นตอนด้านล่าง):

• พฤติกรรมสามารถบรรเทาได้โดยการตั้งค่าคุณสมบัติของระบบ formatMsgNoLookups หรือตัวแปรสภาพแวดล้อมLOG4J_FORMAT_MSG_NO_LOOKUPS เป็นจริง

• หากใช้ version  >=2.0-beta9และ  <=2.10.0ให้ลบคลาสJndiLookupของ log4j ออก   จาก classpath ของ Java ดังนี้: zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup .ระดับ

 

AppScan สามารถช่วยได้อย่างไร

HCL AppScan สามารถช่วยให้นักพัฒนาสแกนหาช่องโหว่ของ log4j CVE-2021-44228และCVE-2021-45046ด้วยการวิเคราะห์โอเพ่นซอร์ส (OSA) หรือการทดสอบความปลอดภัยแอปพลิเคชันแบบไดนามิก (DAST) ในโซลูชันการทดสอบความปลอดภัยแอปพลิเคชันบนคลาวด์ AppScan บนคลาวด์ .

เรียนรู้วิธีสแกนหาช่องโหว่ Log4j ด้วยHCL AppScan บนความสามารถ OSA ของ Cloud

เรียนรู้วิธีสแกนหาช่องโหว่ Log4j ด้วยHCL AppScan บนความสามารถ DAST ของ Cloud 

 

AppScan บนคลาวด์ (ASoC) คืออะไร?

ASoC นำเสนอชุดเครื่องมือทดสอบความปลอดภัยที่ครอบคลุมที่ไม่มีใครเทียบได้บนคลาวด์ รวมถึง SAST, DAST, IAST และ OSA ช่วยให้องค์กรสามารถจัดการจุดอ่อนได้ตั้งแต่ช่วงต้นของ Software Development Life Cycle (SDLC) ลดการตรวจพบที่ผิดพลาด แก้ไขโค้ดตามที่เขียน และให้ผลสหสัมพันธ์ขั้นสูงเพื่อส่งมอบผลลัพธ์ที่แม่นยำยิ่งขึ้น ช่วยให้องค์กรสามารถส่งมอบซอฟต์แวร์ที่ปลอดภัยและตรงตามข้อกำหนดได้เร็วยิ่งขึ้นและในวงกว้าง

 

หากสนใจ AppScan และชุดเครื่องมือทดสอบความปลอดภัยของเรา ซึ่งรวมถึง SAST, DAST, IAST สำหรับเว็บ และแอปพลิเคชันโอเพนซอร์ส ติดต่อเรา KTNBS