Lỗ hổng Log4j đang mở rộng sang các thiết bị và mạng cục bộ

Các nhà nghiên cứu bảo mật đã phát hiện ra một khai thác tấn công hoàn toàn mới cho phép tin tặc khai thác lỗ hổng Log4Shell trên các máy chủ cục bộ bằng cách sử dụng kết nối JavaScript WebSocket.

Matthew Warner, CTO của Blumira, cho biết: “bất kỳ thiết bị hoặc mạng riêng cục bộ (local private network) chứa phiên bản Log4j dễ bị tấn công đều có khả năng kích hoạt lỗ hổng”. Hiện chưa có thông tin về việc khai thác đã xảy ra trong thực tế. Khai thác này mở rộng đáng kể bề mặt tấn công và có thể ảnh hưởng đến cả các dịch vụ đang chạy dưới dạng localhost không được kết nối mạng.

Lỗ hổng đã được khắc phục trong phiên bản Log4j 2.16.0.

WebSockets cho phép giao tiếp hai chiều giữa trình duyệt web (ứng dụng khách) và máy chủ, không giống như HTTP, là một chiều trong đó máy khách gửi yêu cầu và máy chủ gửi phản hồi.

Thứ Sáu tuần trước, Apache đã ra mắt phiên bản 2.17.0 để khắc phục lỗ hổng từ chối dịch vụ (DoS) CVE-2021- 45105 (điểm CVSS: 7,5), đây là lỗ hổng thứ ba trong Log 4j2 được phát hiện sau CVE-2021-45046 và CVE-2021-44228.

Danh sách toàn bộ các lỗ hổng được phát hiện cho đến nay trong framework Log 4j sau khi phát hiện lỗ hổng thực thi mã từ xa Log4Shell:

- CVE-2021-44228 (Điểm CVSS: 10.0) - lỗ hổng thực thi mã từ xa ảnh hưởng đến các phiên bản Log4j từ 2.0-beta9 đến 2.14.1 (Đã vá trong phiên bản 2.15.0)

- CVE-2021-45046 (Điểm CVSS: 9.0) - lỗ hổng rò rỉ thông tin và thực thi mã từ xa ảnh hưởng đến các phiên bản Log4j từ 2.0-beta9 đến 2.15.0, ngoại trừ 2.12.2 (Đã vá trong phiên bản 2.16.0)

- CVE-2021-45105 (Điểm CVSS: 7,5) - lỗ hổng từ chối dịch vụ ảnh hưởng đến các phiên bản Log4j từ 2.0-beta9 đến 2.16.0 (Đã vá trong phiên bản 2.17.0)

- CVE-2021-4104 (Điểm CVSS: 8.1) - lỗ hổng Insecure deserialization ảnh hưởng đến Log4j phiên bản 1.2 (Không có bản vá lỗi; Nâng cấp lên phiên bản 2.17.0)

Jake Williams, CTO công ty ứng cứu sự cố BreachQuest, cho biết: “không có gì ngạc nhiên khi phát hiện thêm các lỗ hổng bảo mật trong Log4j”. "Tương tự như Log4j, vào khoảng giữa năm nay, việc tiết lộ lỗ hổng PrintNightmare đã dẫn đến việc phát hiện ra nhiều lỗ hổng khác”.

Một số đối tượng đã và đang kết hợp các lỗ hổng Log4j để thực hiện nhiều cuộc tấn công khác nhau, bao gồm cả việc lây nhiễm ransomware liên quan đến nhóm Conti (có trụ sở tại Nga) và một ransomware mới có tên Khonsari.

Theo các nhà nghiên cứu từ Sangfor và Curated Intel, ransomware TellYouThePass đang lợi dụng lỗ hổng thực thi mã từ xa Log4j để tấn công vào các thiết bị Windows và Linux.

Bitdefender cho biết Log4Shell là lỗ hổng dễ bị khai thác, phổ biến và có tới 60 biến thể khai thác khác nhau; Theo dữ liệu thu thập từ ngày 11 tháng 12 đến ngày 15 tháng 12, chỉ riêng Đức và Mỹ đã chiếm 60% tổng số các khai thác. Các mục tiêu tấn công phổ biến nhất là Mỹ, Canada, Anh, Romania, Đức, Úc, Pháp, Hà Lan, Brazil và Ý.

Google cho biết khoảng 35.863 Java package sử dụng các phiên bản dễ bị tấn công của thư viện Apache Log4j. Trong số đó, có khoảng 7.000 gói phụ thuộc trực tiếp vào Log4j.

James Wetter và Nicky Ringland của Google cho biết: "Việc người dùng không phát hiện các ứng dụng của họ sử dụng các thư viện hoặc các phụ thuộc bổ sung có chứa lỗ hổng khiến việc vá lỗ hổng trở nên khó khăn; nó cũng gây khó khăn cho việc xác định phạm vi ảnh hưởng của lỗ hổng này”. Theo hướng tích cực, có 2.620 packages bị ảnh hưởng đã được khắc phục chưa đầy một tuần sau khi lỗ hổng được tiết lộ.

Williams cho biết: “Có thể sẽ phải mất một thời gian để kiểm soát được toàn bộ lỗ hổng log4j, vì nó được nhúng trong quá nhiều phần mềm”. "Điều này gây khó khăn trong việc tìm kiếm vô số vị trí mà thư viện ảnh hưởng được nhúng. Rủi ro ở đây là lỗ hổng sẽ cung cấp quyền truy cập ban đầu cho các tác nhân đe dọa để chúng có thể tấn ông sau hơn vào hệ thống."

Nguồn: thehackernews.com.