OzzTech - Log4J İçin Güncelleme Yayınlandı

Log4J İçin Güncelleme Yayınlandı

log4shell

Log4j'de Salı günü, tehdit aktörleri tarafından etkilenen sistemlerde kötü amaçlı kod çalıştırmak için kötüye kullanılabilecek rastgele bir kod yürütme kusuru içeren yeni yamalar yayınladı ve bu, onu araçta keşfedilen beşinci güvenlik eksikliği haline getirdi.

CVE-2021-44832 olarak izlenen güvenlik açığı, 10 üzerinden 6,6 önem derecesine sahiptir ve 2.3.2 ve 2.12.4 dışında günlük kaydı kitaplığının 2.0-alpha7'den 2.17.0'a kadar olan tüm sürümlerini etkiler. Log4j 1.x sürümleri etkilenmese de, kullanıcıların Log4j 2.3.2'ye (Java 6 için), 2.12.4'e (Java 7 için) veya 2.17.1'e (Java 8 ve üstü için) yükseltmeleri önerilir.

"Apache Log4j2 2.0-beta7'den 2.17.0'a kadar olan sürümler güvenlik düzeltme sürümleri 2.3.2 ve 2.12.4 hariç, günlük yapılandırma dosyasını değiştirme iznine sahip bir saldırganın kötü amaçlı bir kod yürütme RCE saldırısına karşı savunmasızdır. ASF, bir danışma belgesinde, uzaktan kod yürütebilen bir JNDI URI'sine atıfta bulunan bir veri kaynağına sahip bir JDBC Ekleyicisi kullanarak yapılandırma mümkündür. "Bu sorun, JNDI veri kaynağı adlarının Log4j2 2.17.1, 2.12.4 ve 2.3.2 sürümlerinde Java protokolüyle sınırlandırılmasıyla giderildi."denildi.

ASF tarafından sorun için herhangi bir kredi verilmemesine rağmen, Checkmarx güvenlik araştırmacısı Yaniv Nizry, 27 Aralık'ta güvenlik açığını Apache'ye bildirdiği için kredi talep etti.

Nizry, "Saldırganın yapılandırma üzerinde kontrol sahibi olmasını gerektirdiğinden, bu güvenlik açığının karmaşıklığı orijinal CVE-2021-44228'den daha yüksektir" dedi. "Logback'ten farklı olarak, Log4j'de bir uzaktan yapılandırma dosyası yükleme veya kod aracılığıyla kaydediciyi yapılandırma özelliği vardır, bu nedenle MitM saldırısıyla rastgele bir kod yürütmesi gerçekleştirilebilir, kullanıcı girişi savunmasız bir yapılandırma değişkeninde sona erer, veya yapılandırma dosyasını değiştirebilir."

En son düzeltmeyle, proje sahipleri Log4Shell kusurunun bu ayın başlarında ortaya çıkmasından bu yana Log4j'deki toplam dört sorunu ele aldı ve Log4j 1.2 sürümlerini etkileyen ve düzeltilmeyecek olan beşinci bir güvenlik açığından bahsetmiyorum bile.

  • CVE-2021-44228 (CVSS puanı: 10.0) - Log4j sürümlerini 2.0-beta9'dan 2.14.1'e etkileyen bir uzaktan kod yürütme güvenlik açığı (2.15.0 sürümünde düzeltildi)
  • CVE-2021-45046 (CVSS puanı: 9.0) - 2.12.2 hariç Log4j sürümlerini 2.0-beta9'dan 2.15.0'a etkileyen bir bilgi sızıntısı ve uzaktan kod yürütme güvenlik açığı (2.16.0 sürümünde düzeltildi)
  • CVE-2021-45105 (CVSS puanı: 7.5) - Log4j sürümlerini 2.0-beta9'dan 2.16.0'a etkileyen bir hizmet reddi güvenlik açığı (2.17.0 sürümünde düzeltildi)
  • CVE-2021-4104 (CVSS puanı: 8.1) - Log4j sürüm 1.2'yi etkileyen güvenilmeyen bir seri durumdan çıkarma hatası (Düzeltme yok; Sürüm 2.17.1'e yükseltin)

Geliştirme ayrıca Avustralya, Kanada, Yeni Zelanda, Birleşik Krallık ve ABD'deki istihbarat teşkilatlarının Apache'nin Log4j yazılım kitaplığındaki çoklu güvenlik açıklarının hain düşmanlar tarafından toplu olarak sömürülmesi konusunda ortak bir uyarı uyarısı yayınlamasıyla birlikte geliyor.

Bu makalemizi beğendiyseniz sizleri Log4Shell Güvenlik Açığı adlı makalemize bekleriz: https://www.ozztech.net/siber-guvenlik/log4shell-guvenlik-acigi/


İlginizi Çekebilecek Makaleler
FortiGate ACME Sertifika Desteği
Siber Güvenlik

FortiGate ACME Sertifika Desteği

Ocak 24, 2022 1:22

Otomatik Sertifika Yönetim Ortamı (ACME), RFC 8555’te tanımlandığı üzere, ücretsiz SSL sunucu sertifikaları sağlamak için genel Let’s...

Android Reverse Mühendisliği Araçları Örnek Vakalar
Siber Güvenlik

Android Reverse Mühendisliği Araçları Örnek Vakalar

Ocak 24, 2022 12:39

Bir önceki yazıda yeni çıkan android reverse mühendisliği araçları hakkında bilgi vermiştim. Bu yazımda...

Emotet Artık Alışılmadık IP Adreslerini Kullanıyor
Siber Güvenlik

Emotet Artık Alışılmadık IP Adreslerini Kullanıyor

Ocak 24, 2022 9:44

Emotet kötü amaçlı yazılım botnetinin dağıtımını içeren sosyal mühendislik kampanyaları, güvenlik çözümlerinin tespitinden kaçınmak...

FortiWeb Kurulumu 5-Operation Modu
Siber Güvenlik

FortiWeb Kurulumu 5-Operation Modu

Ocak 24, 2022 7:49

FortiWeb kurulumunu anlattığımız beşinci yazımızda operation modu ve FortiWeb cihazı açıldıktan sonra, FortiWeb cihazını...

FortiWeb Kurulumu 4- Admin Şifresi Değiştirme
Siber Güvenlik

FortiWeb Kurulumu 4- Admin Şifresi Değiştirme

Ocak 23, 2022 10:21

FortiWeb kurulumunu anlattığımız serinin dördüncü yazısında Admin şifresi nasıl değiştirceğinizi, saat ve günü nasıl...

Metasploittable 2
Siber Güvenlik

Metasploittable 2

Ocak 22, 2022 11:57

Metasploittable 2 Nedir? Neden Kullanılır? Nasıl Kurulur? Metasploittable 2 Metasploit firması tarafından bizlerin güvenli...

FortiWeb Kurulumu 3- Firmware Güncellenmesi
Siber Güvenlik

FortiWeb Kurulumu 3- Firmware Güncellenmesi

Ocak 22, 2022 11:56

FortiWeb kurulumunu anlattığımız serinin üçüncü yazısında Firmware güncellemesini anlatacağız. FortiWeb cihazınız gönderildiğinde en son...

FortiWeb Kurulumu 2- Web UI ve CLI Bağlama
Siber Güvenlik

FortiWeb Kurulumu 2- Web UI ve CLI Bağlama

Ocak 21, 2022 7:50

FortiWeb kurulumu yazımızın ikinci serisinde Web UI veya CLI bağlamanın nasıl yapılacağını anlatacağız. Eğer...

Yapay Zeka Nedir?
Yazılım Geliştirme

Yapay Zeka Nedir?

Ocak 20, 2022 10:57

Sürekli olarak değişen, gelişen ve oldukça hızlı bir şekilde boyut atlayan, günümüze kadar gelen...

İletişim
OZZTECH Bilgi Teknolojileri olarak siber güvenlik danışmanlığı ve bilgi güvenliği eğitimleri alanlarında 10 yılı aşkın bir süredir ülkemizin önde gelen kurumlarına hizmet vermeye devam etmektedir. Detaylı bilgi ve danışmanlık hizmetlerimiz için aşağıdaki formu kullanarak veya [email protected] adresimiz üzerinden bizlerle iletişime geçebilirsiniz.