-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512
#####################################################
## N C S C ~ B E V E I L I G I N G S A D V I E S ##
#####################################################
######################## UPDATE 1.04 #############################
Titel : Kwetsbaarheden verholpen in Apache Log4j
Advisory ID : NCSC-2021-1052
Versie : 1.04
Kans : high
CVE ID : CVE-2021-44228, CVE-2021-45046
(Details over de kwetsbaarheden kunt u vinden op
de Mitre website: http://cve.mitre.org/cve/)
Schade : high
Denial-of-Service (DoS)
(Remote) code execution (Administrator/Root rechten)
(Remote) code execution (Gebruikersrechten)
Uitgiftedatum : 20211215
Toepassing : Apache Log4j
Versie(s) : 2.0 - 2.14.1
2.15
Platform(s) :
Update
De afgelopen dagen stond in dit beveiligingsadvies dat JDK versies
6u211, 7u201, 8u191, 11.0.1 of hoger niet gevoelig zijn voor de
aanval middels een LDAP verzoek. Inmiddels is bekend dat dit onjuist
is. Het NCSC heeft dit aangepast in dit beveiligingsadvies.
De eerder beschreven mitigerende maatregel lijkt niet in alle
gevallen te werken, deze mitgerende maatregel is uit dit advies
gehaald.
Volgens de ontwikkelaars van Log4j heeft de update naar Log4j 2.15
een nieuwe kwetsbaarheid blootgelegd met kenmerk CVE-2021-45046.
Deze kwetsbaarheid maakt het mogelijk een Denial-of-Service te
veroorzaken.
Beschrijving
Er is een ernstige kwetsbaarheid verholpen in Apache Log4j, een java
log-tool die door zeer veel applicaties en diensten wordt gebruikt.
De kwetsbaarheid met kenmerk CVE-2021-44228 maakt het mogelijk voor
een ongeauthenticeerde kwaadwillende op afstand om willekeurige code
uit te voeren met de rechten van de bovenliggende applicatie. Omdat
niet in te schatten is welke rechten de bovenliggende applicatie
heeft en doordat de aanvaller willekeurig code op afstand kan
injecteren en uitvoeren is de mogelijke gevolgschade niet in te
schatten, waardoor het NCSC de impact inschaalt als HIGH/HIGH.
De kwetsbaarheid met kenmerk CVE-2021-44228 is aanwezig in Log4j 2.0
t/m 2.14.1. Log4j 1.x is niet onderzocht door Apache, omdat deze
sinds 2015 end-of-life is en niet meer wordt ondersteund. De update
naar versie 2.15 heeft een Denial-of-Service kwetsbaarheid
blootgelegd met kenmerk CVE-2021-45046. Beide kwetsbaarheden zijn
verholpen in versies 2.12.2(Java 7) en 2.16.0(Java 8 en later) waar
de betrokken functionaliteit uit is gehaald.
Het NCSC is bezig om een zo breed en actueel mogelijk beeld te
verkrijgen van mogelijke gerelateerde kwetsbare software. Om een zo
actueel mogelijk beeld te geven van getroffen systemen en
beschikbare patches, kiest het NCSC ervoor om een lijst bij te
houden op GitHub [1]. Kwetsbare applicaties die op deze lijst staan
worden behandeld als H/H.
Organisaties worden geadviseerd de lijst op GitHub regelmatig te
controleren op updates relevant voor hun organisatie. Op GitHub is
naast een lijst van software en patches ook een overzicht van tools,
IoC's en Yara-rules te vinden.
Er is Proof-of-Concept code gepubliceerd voor deze kwetsbaarheid en
het NCSC ontvangt meldingen dat de kwetsbaarheid actief wordt
misbruikt.
Alle JDK versies lijken kwetsbaar in tegenstelling tot wat eerder
werd vermeld.
Om eventueel misbruik te detecteren kan in de logging gezocht worden
naar strings vanuit gebruikers zoals "Jndi:ldap". Doorzoek hiervoor
de logging van alle applicaties die gebruik maken van de kwetsbare
Log4j.
Het NCSC houdt de situatie in de gaten en werkt waar nodig dit
beveiligingsadvies bij wanneer relevante informatie beschikbaar
komt.
[1] https://github.com/NCSC-NL/log4shell
Mogelijke oplossingen
Een actueel overzicht van beschikbare updates is te vinden in de
volgende GitHub-repository van het NCSC:
https://github.com/NCSC-NL/log4shell
Apache heeft Log4j 2.15.0 uitgebracht om de kwetsbaarheid te
verhelpen. De laatste versie van Log4j is via de volgende pagina
beschikbaar bij Apache zelf:
https://logging.apache.org/log4j/2.x/download.html
Source code patches die de kwetsbaarheid verhelpen zijn te
verkrijgen via de GitHub-repository van het Log4j project:
https://github.com/apache/logging-log4j2/releases/tag
/log4j-2.15.0-rc2
Update 14-12-2021:
De ontwikkelaars van Log4j hebben een Log4j 2.16.0 uitgebracht. De
nieuwe release Log4j 2.16.0 schakelt de JNDI functionaliteit
standaard uit. Tevens is de ondersteuning voor "Message lookups"
verwijderd. De ontwikkelaars stellen dat het in deze release gaat om
hardening-maatregelen. De update is optioneel, maar wordt door de
ontwikkelaars aangeraden wel uit te voeren. Voor meer informatie:
https://lists.apache.org/thread/d6v4r6nosxysyq9rvnr779336yf0woz4
Update 15-12-2021
Het NCSC raadt aan om de volgende pagina van de ontwikkelaars van
Log4j in de gaten te houden:
https://logging.apache.org/log4j/2.x/index.html
Vrijwaringsverklaring
Door gebruik van deze security advisory gaat u akkoord met de
navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
kan het NCSC niet instaan voor de volledigheid, juistheid of
(voortdurende) actualiteit van dit beveiligingsadvies. De informatie
in dit beveiligingsadvies is uitsluitend bedoeld als algemene
informatie voor professionele partijen. Aan de informatie in dit
beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
van het gebruik of de onmogelijkheid van het gebruik van dit
beveiligingsadvies, waaronder begrepen schade ten gevolge van de
onjuistheid of onvolledigheid van de informatie in dit
beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
van toepassing. Alle geschillen in verband met en/of voortvloeiend
uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8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=dLTF
-----END PGP SIGNATURE-----
