-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
######################## UPDATE 1.03 #############################
Titel : Kwetsbaarheid verholpen in Apache Log4j
Advisory ID : NCSC-2021-1052
Versie : 1.03
Kans : high
CVE ID : CVE-2021-44228
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: http://cve.mitre.org/cve/)
Schade : high
(Remote) code execution (Administrator/Root rechten)
(Remote) code execution (Gebruikersrechten)
Uitgiftedatum : 20211214
Toepassing : Apache Log4j
Versie(s) : 2.0 - 2.14.1
Platform(s) :
Update
De ontwikkelaars van Log4j hebben een update uitgebracht. De nieuwe
release Log4j 2.16.0 schakelt de JNDI functionaliteit standaard uit.
Tevens is de ondersteuning voor "Message lookups" verwijderd. De
ontwikkelaars stellen dat het in deze release gaat om
hardening-maatregelen. De update is optioneel, maar wordt door de
ontwikkelaars van Log4j aangeraden wel uit te voeren.
Beschrijving
Er is een ernstige kwetsbaarheid verholpen in Apache Log4j, een java
log-tool die door zeer veel applicaties en diensten wordt gebruikt.
De kwetsbaarheid maakt het mogelijk voor een ongeauthenticeerde
kwaadwillende op afstand om willekeurige code uit te voeren met de
rechten van de bovenliggende applicatie. Omdat niet in te schatten
is welke rechten de bovenliggende applicatie heeft en doordat de
aanvaller willekeurig code op afstand kan injecteren en uitvoeren is
de mogelijke gevolgschade niet in te schatten, waardoor het NCSC de
impact inschaalt als HIGH/HIGH.
De kwetsbaarheid is bevestigd in Log4j 2.0 t/m 2.14.1. Log4j 1.x is
niet onderzocht door Apache, omdat deze sinds 2015 end-of-life is en
niet meer wordt ondersteund.
Het NCSC is bezig om een zo breed en actueel mogelijk beeld te
verkrijgen van mogelijke gerelateerde kwetsbare software. Om een zo
actueel mogelijk beeld te geven van getroffen systemen en
beschikbare patches, kiest het NCSC ervoor om een lijst bij te
houden op GitHub[1] en dit advies eenmalig te updaten met een
verwijzing naar deze lijst. Derhalve worden de de kwetsbaarheden in
de kwetsbare applicaties op deze lijst behandelt als H/H.
Organisaties worden geadviseerd de lijst op Github regelmatig te
controleren op updates relevant voor hun organisatie. Op Github is
naast een lijst van software en patches ook een overzicht van tools,
IoC's en Yara-rules te vinden.
Er is Proof-of-Concept code gepubliceerd voor deze kwetsbaarheid en
het NCSC ontvangt meldingen dat de kwetsbaarheid actief wordt
misbruikt.
Onderzoekers hebben vastgesteld dat JDK versies 6u211, 7u201, 8u191,
11.0.1 en hoger niet gevoelig zijn voor de aanval middels een LDAP
verzoek, welke op dit moment gebruikt wordt als Proof-of-Concept. Er
worden discussies waargenomen over mogelijk aanroepen van functies
van Tomcat waardoor dit beeld mogelijk kan veranderen.
Om eventueel misbruik te detecteren kan in de logging gezocht worden
naar strings vanuit gebruikers zoals "Jndi:ldap". Doorzoek hiervoor
de logging van alle applicaties die gebruik maken van de kwetsbare
Log4j.
Het NCSC houdt de situatie in de gaten en werkt waar nodig dit
beveiligingsadvies bij, wanneer relevante informatie beschikbaar
komt.
[1] https://github.com/NCSC-NL/log4shell
Mogelijke oplossingen
Een actueel overzicht van beschikbare updates is te vinden op de
GitHub van het NCSC.
https://github.com/NCSC-NL/log4shell
Apache heeft Log4j 2.15.0 uitgebracht om de kwetsbaarheid te
verhelpen. De laatste versie van Log4j is via de volgende pagina
beschikbaar bij Apache zelf:
https://logging.apache.org/log4j/2.x/download.html
Source code patches die de kwetsbaarheid verhelpen zijn te
verkrijgen via de GitHub van het Log4j project:
https://github.com/apache/logging-log4j2/releases/tag
/log4j-2.15.0-rc2
Als mitigerende maatregel kan de applicatie opnieuw opgestart worden
met de directive 'log4j2.formatMsgNoLookups' naar 'true' gezet door
"‐Dlog4j2.formatMsgNoLookups=True” aan het JVM commando toe te
voegen waarmee de tool wordt gestart. Dit kan echter gevolgen hebben
voor de werking van de applicatie, als deze afhankelijk is voor
lookups bij het verwerken en weergeven van data.
Update 14-12-2021:
De ontwikkelaars van Log4j hebben een Log4j 2.16.0 uitgebracht. De
nieuwe release Log4j 2.16.0 schakelt de JNDI functionaliteit
standaard uit. Tevens is de ondersteuning voor "Message lookups"
verwijderd. De ontwikkelaars stellen dat het in deze release gaat om
hardening-maatregelen. De update is optioneel, maar wordt door de
ontwikkelaars aangeraden wel uit te voeren. Voor meer informatie:
https://lists.apache.org/thread/d6v4r6nosxysyq9rvnr779336yf0woz4
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8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=lcCH
-----END PGP SIGNATURE-----
