Apache Log4j भेद्यता CVE-2021-44228 . के लिए शमन

द्वारा प्रकाशित किया गया था Zevenet | 15 दिसंबर, 2021

Log4j क्या है?

लॉग4जे द्वारा विकसित और जारी की गई लॉगिंग सुविधाओं के लिए एक खुला स्रोत जावा पुस्तकालय है अपाचे फाउंडेशन समूह। इस तरह के पुस्तकालय का उपयोग जावा अनुप्रयोगों में विश्व स्तर पर उपयोग किए जाने वाले कई अनुप्रयोगों और सेवाओं की निर्भरता के रूप में किया जाता है क्योंकि यह कई में शामिल है अपाचे फ्रेमवर्क पसंद अपाचे स्ट्रट्स2, अपाचे सॉलर, अपाचे ड्र्यूड, अपाचे झपकी और अपाचे स्विफ्ट, लेकिन यह भी, द्वारा उपयोग किया जाता है Netty, मायबैटिस और स्प्रिंग फ्रेमवर्क.

Log4j भेद्यता किस बारे में है?

यदि कोई एप्लिकेशन प्रभावित संस्करणों के Log4j लॉगिंग लाइब्रेरी में एक गैर-मान्य उपयोगकर्ता इनपुट पास करता है तो वह असुरक्षित होता है। Log4j भेद्यता संस्करण से प्रमाणीकरण के बिना रिमोट कोड निष्पादित करने की अनुमति देती है 2.0-beta9 सेवा मेरे 2.14.1. नीचे बताया गया है कि कैसे Log4j भेद्यता का शोषण किया जाता है।

Log4j शमन के लिए प्राथमिकता वाली कार्रवाइयां

नवीनतम अद्यतन स्थापित करें जहाँ Log4j उदाहरण ज्ञात हैं। पहला कदम अपने संगठन में किसी भी Log4j इंस्टेंस का पता लगाना और आधिकारिक रिपॉजिटरी से नवीनतम अपडेट लागू करना है।

अपने परिनियोजित अनुप्रयोगों की सुरक्षा के लिए WAF नीति नियम लागू करें। अपने संगठन में वेब एप्लिकेशन फायरवॉल का उपयोग करने से इस भेद्यता के शोषण की निगरानी और अवरोधन में सुधार हो सकता है। बस उन अनुरोधों को ब्लॉक करना सुनिश्चित करें जहां URL में "jndi: ldap" जैसे तार हों। कृपया ध्यान दें कि वेरिएंट मौजूदा WAF नियमों को बायपास कर सकते हैं या ऐसे एप्लिकेशन जहां ऐसी LDAP सुविधा का उपयोग किया जाता है, उपयोग करने योग्य नहीं हो सकता है। उन्हें अद्यतन करना सुनिश्चित करें।

कृपया Log4j शमन के लिए ZEVENET को वेब एप्लिकेशन फ़ायरवॉल के रूप में उपयोग करने पर विचार करें।

क्या ZEVENET, Log4j भेद्यता से प्रभावित है?

ZEVENET उपकरण या सार्वजनिक सेवाएं प्रभावित नहीं हैं चूंकि अपाचे ढांचे का उपयोग नहीं किया जा रहा है।

ZEVENET वेब एप्लिकेशन फ़ायरवॉल के साथ Log4j भेद्यता के खिलाफ मेरे अनुप्रयोगों की रक्षा कैसे करें

एक बार हमारे आवेदन के लिए एक आभासी सेवा या फ़ार्म बन जाने के बाद, WAF नियम बनाने के लिए निम्नलिखित चरणों को लागू करें:

एक नया नियम बनाएं
कोई नया बनाएं कार्य नए नियम में नियम। नियम विन्यास होना चाहिए:

     समाधान: अस्वीकार करें (अनुरोध को काटें और नियमों को निष्पादित न करें)
     चरण: अनुरोध शीर्षलेख प्राप्त होते हैं

निम्नलिखित कॉन्फ़िगरेशन के साथ नियम में एक शर्त बनाएँ:

     चर: REQUEST_URI, REQUEST_HEADERS
     रूपांतरण: लोअरकेस, urlDecodeUni
     ऑपरेटर: strContains
     संचालन: jndi:ldap

अंत में, नियम सेट शुरू करें और इसे वांछित खेतों में लागू करें।

ध्यान दें कि इस नियम के साथ, कमजोर स्ट्रिंग की तलाश में प्रत्येक HTTP अनुरोध जहां यूआरएल और हेडर का विश्लेषण किया जाएगा।

पर साझा करें:

GNU फ्री डॉक्यूमेंटेशन लाइसेंस की शर्तों के तहत प्रलेखन।

क्या यह लेख सहायक था?

संबंधित आलेख