Groot aantal applicaties getroffen door kritieke kwetsbaarheid in Log4j
De kritieke kwetsbaarheid in logsoftware Log4j raakt een groot aantal applicaties, waaronder die van VMware, ElasticSearch, Red Hat, Atlassian, Amazon, Apache, Oracle en tal van andere programma's en leveranciers. Microsoft is bezig met een onderzoek en het Nationaal Cyber Security Centrum (NCSC) heeft inmiddels op GitHub een overzicht van kwetsbare Log4j-applicaties en te nemen stappen gepubliceerd. De lijst zal de komende dagen nog verder worden aangevuld, aangezien tal van applicaties van Apache Log4j gebruikmaken.
De impact van de kwetsbaarheid, aangeduid als CVE-2021-44228, is op een schaal van 1 tot en met 10 met een 10 beoordeeld. Log4j laat ontwikkelaars allerlei informatie binnen hun applicatie loggen. In bepaalde gevallen kan er data afkomstig van gebruikersinvoer worden gelogd. Een aanvaller kan via een speciaal geprepareerd request, dat door Log4j wordt gelogd, vervolgens via verschillende diensten, zoals het Lightweight Directory Access Protocol (LDAP), Secure LDAP (LDAPS), Remote Method Invocation (RMI) en Domain Name Service (DNS), kwaadaardige code op de server uitvoeren waarop Log4j draait.
"De kwetsbaarheid is wat complex: hoewel sommige producten kwetsbaar zijn, wil dit niet zeggen dat de kwetsbaarheid succesvol is te misbruiken aangezien dit afhankelijk is van verschillende pre- en postcondities, zoals de gebruikte Java virtual machine, de huidige configuratie, etc.", aldus het Zwitserse Government Computer Emergency Response Team (GovCERT.ch). De overheidsinstantie waarschuwt dat het Log4j-lek tegen de vitale infrastructuur kan worden ingezet, maar zijn hier nog geen meldingen over binnengekomen. Bij de huidige aanvallen is voor zover bekend alleen malware geïnstalleerd voor cryptomining en het uitvoeren van ddos-aanvallen.
Log in op je server en doe
sudo lsof|grep log4j
En kijk welke versie er actief is als deze er is.
Elasticsearch gebruikt het bijvoorbeeld ook en logstash stuurt de exploit code gewoon door naar ES.
Er is een hele waslijst aan software wat gebruik maakt van log4j en nee dat heeft niets te maken met Apache webserver behalve dat het door dezelfde stichting onderhouden wordt.
Als je dit al niet doorhebt, ondanks dat in het nieuws duidelijk wordt gemeld wat Log4j is en de informatie ook zonder dat makkelijk te vinden is, dan lukt het je kennelijk niet om te beoordelen of een kwetsbaarheid wel of niet op jou betrekking heeft. De conclusie dat je niet kwetsbaar bent trek je niet op basis van inzicht in wat hier gaande is. Als je inderdaad niet kwetsbaar bent dan heb je per ongeluk de goede conclusie getrokken.
Vraag jezelf eens ernstig af of je wel in huis hebt wat je nodig hebt om op een verantwoorde manier een webserver te draaien.
Het gaat dus verder dan alleen Apache, zoals hierboven ook al aangegeven.
Het gaat dus verder dan alleen Apache, zoals hierboven ook al aangegeven.
De lijst is nog niet volledig en moet aangevuld worden. Het NCSC roept bedrijven en instellingen op om aanvullende informatie te delen, bijvoorbeeld over de versie van Log4j die zij gebruiken.
https://nos.nl/artikel/2409263-internetwaakhond-deelt-lijst-met-software-die-kwetsbaar-is-voor-hackers
Het gaat dus verder dan alleen Apache, zoals hierboven ook al aangegeven.
Als je dit al niet doorhebt, ondanks dat in het nieuws duidelijk wordt gemeld wat Log4j is en de informatie ook zonder dat makkelijk te vinden is, dan lukt het je kennelijk niet om te beoordelen of een kwetsbaarheid wel of niet op jou betrekking heeft. De conclusie dat je niet kwetsbaar bent trek je niet op basis van inzicht in wat hier gaande is. Als je inderdaad niet kwetsbaar bent dan heb je per ongeluk de goede conclusie getrokken.
Vraag jezelf eens ernstig af of je wel in huis hebt wat je nodig hebt om op een verantwoorde manier een webserver te draaien.
Inderdaad en dat gejammer over de webserver Hijawatta of zoiets die ook gebruikt kan worden slaat al helemaal nergens op. De getroffen omgeving is Java EE en de webserver is maar een klein onderdeeltje daarvan, wat er in dit geval ook nog helemaal los van staat ook. Je moet natuurlijk een webserver hebben die als applicatieserver dienst kan doen (waardoor 'Hiawatha' sowieso al afvalt dus houd op met dat ding hier te spammen) maar het probleem zit in een logging bibliotheek.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
