Aggiornamento Alert GCSA-21132 - Vulnerabilita' nelle librerie Apache Log4j - Ancora una nuovo RCE/patch
-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
******************************************************************
Alert ID: GCSA-21132
Data: 14, 18 e 29 Dicembre 2021
Titolo: Aggiornamento Alert - Vulnerabilita' nelle librerie Apache Log4j - Ancora una nuovo RCE/patch
******************************************************************
:: Descrizione del problema
E' stata riscontrata una nuova ulteriore vulnerabilita' nell'ultima
versione di Apache log4j 2.17.0.
La vulnerabilita' puo' essere sfruttata da un attaccante che abbia i
privilegi di modifica sulla configurazione di logging, tramite il modulo
JDBC appender e un JNDI URI che puo' eseguire codice, e consente l'esecuzione
da remoto di codice arbitrario (RCE)
In questo caso la vulnerabilita' e' un po' piu' difficile da sfruttare,
perche' necessita di un utente che abbia privilegi di modifica della
configurazione, per questo ha uno score CVSS:6.6 (Moderate), ancora provvisorio.
Si raccomanda comunque di aggiornare con massima priorita' all'ultima
versione 2.17.1
Per fare un riepilogo al momento sono 5 le vulnerabilita':
CVE-2021-44228 (CVSS:10)
CVE-2021-45046 (CVSS:10)
CVE-2021-45105 (CVSS:7.5)
CVE-2021-4104 (CVSS:8.5)
CVE-2021-44832 (CVSS:6.6 provvisorio) - new
Le vulnerabilita' hanno un impatto molto esteso, poiche' le librerie Log4j
sono ampiamente utilizzate da un enorme varieta' di sistemi e software,
sia open che closed, sia sviluppati in proprio.
Inoltre, data l'ampia superficie di attacco, si riscontra un notevole
incremento nella caccia di questi bug, tramite scansioni volte a
rilevare server vulnerabili, e nei tentativi di exploit.
Apache ha rilasciato una nuova ulteriore patch, e raccomandiamo la
massima priorita' nell'aggiornamento dei sistemi affetti, o nella
mitigazione, qualora non fosse possibile aggiornare.
Di seguito abbiamo aggiunto una sezione con ulteriori nuove informazioni
:: Ulteriori informazioni in continuo aggiornamento
Pensiamo che possano essere utili alla comunita' per essere aggiornati
sulle modalita' dello sfruttamento delle vulnerabilita', di come possiamo
accorgerci se siamo affetti, sia scansionando le macchine che attraverso
la lettura dei log.
:: Software interessato
Librerie Apache Log4j dalla versione 2.0-beta7 fino alla 2.17.0
Nota: le versioni di Log4j v1 non sono piu' supportate e non riceveranno
aggiornamenti pur essendo vulnerabili anche ad ulteriori attacchi RCE
pertanto e' fortemente consigliato aggiornarle alla 2.17.1
:: Impatto
Esecuzione da remoto di codice arbitrario (RCE)
:: Soluzioni
Aggiornare le librerie Apache Log4j all'ultima versione disponibile:
Apache log4j 2.17.1 - Per Java 8 e superiori
Apache log4j 2.12.4 - Per Java 7
Apache Log4j 2.3.2 - Per Java 6
Aggiornare i sistemi affetti che utilizzino le librerie
https://logging.apache.org/log4j/2.x/download.html
:: Ulteriori informazioni in continuo aggiornamento
Numerose fonti e ricercatori di sicurezza ci informano che le vulnerabilita'
Apache Log4j sono intensamente sfruttate da attaccanti malevoli su larga scala.
Visto che la situazione e' in continuo sviluppo e aggiornamento, di seguito
alcune ulteriori informazioni che crediamo possano essere utili alla
comunita', oltre ai bollettini GARR-CERT gia' pubblicati in cui trovare
numerosi riferimenti
https://www.cert.garr.it/it/alert/security-alerts/listid-1/mailid-2417-rettifica-alert-gcsa-21132-vulnerabilita-nelle-librerie-apache-log4j
https://www.cert.garr.it/alert/security-alerts/listid-1/mailid-2422-aggiornamento-alert-gcsa-21132-vulnerabilita-nelle-librerie-apache-log4j-nuova-patch
=== NEW in "Detection"
Ci sono a disposizione due nuovi strumenti per scansionare la vulnerabilita':
1) Moduli NSE appositi per nmap
https://github.com/Diverto/nse-log4shell
2) Un tool che dovrebbe riconoscere tutti i CVE contemporaneamente
https://github.com/logpresso/CVE-2021-44228-Scanner
:: Riferimenti
Apache Log4j
https://logging.apache.org/log4j/2.x/security.html
https://logging.apache.org/log4j/2.x/download.html
CSIRT Italia
https://csirt.gov.it/contenuti/sanata-una-nuova-vulnerabilita-per-apache-log4j-al01-211229-csirt-ita
Openwall - oss-security
https://www.openwall.com/lists/oss-security/2021/12/28/1
Mitre's CVE ID
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45105
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-4104
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44832
GARR CERT Security Alert - subscribe/unsubscribe:
https://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1
iEYEARECAAYFAmHMLZ8ACgkQwZxMk2USYEJX5ACeI/bqzSlpKrwKF//rezC3a1pW
OoIAmgPW2dJwHq48OfyToaJWh7wKJiOQ
=sPKb
-----END PGP SIGNATURE-----
Hash: SHA1
******************************************************************
Alert ID: GCSA-21132
Data: 14, 18 e 29 Dicembre 2021
Titolo: Aggiornamento Alert - Vulnerabilita' nelle librerie Apache Log4j - Ancora una nuovo RCE/patch
******************************************************************
:: Descrizione del problema
E' stata riscontrata una nuova ulteriore vulnerabilita' nell'ultima
versione di Apache log4j 2.17.0.
La vulnerabilita' puo' essere sfruttata da un attaccante che abbia i
privilegi di modifica sulla configurazione di logging, tramite il modulo
JDBC appender e un JNDI URI che puo' eseguire codice, e consente l'esecuzione
da remoto di codice arbitrario (RCE)
In questo caso la vulnerabilita' e' un po' piu' difficile da sfruttare,
perche' necessita di un utente che abbia privilegi di modifica della
configurazione, per questo ha uno score CVSS:6.6 (Moderate), ancora provvisorio.
Si raccomanda comunque di aggiornare con massima priorita' all'ultima
versione 2.17.1
Per fare un riepilogo al momento sono 5 le vulnerabilita':
CVE-2021-44228 (CVSS:10)
CVE-2021-45046 (CVSS:10)
CVE-2021-45105 (CVSS:7.5)
CVE-2021-4104 (CVSS:8.5)
CVE-2021-44832 (CVSS:6.6 provvisorio) - new
Le vulnerabilita' hanno un impatto molto esteso, poiche' le librerie Log4j
sono ampiamente utilizzate da un enorme varieta' di sistemi e software,
sia open che closed, sia sviluppati in proprio.
Inoltre, data l'ampia superficie di attacco, si riscontra un notevole
incremento nella caccia di questi bug, tramite scansioni volte a
rilevare server vulnerabili, e nei tentativi di exploit.
Apache ha rilasciato una nuova ulteriore patch, e raccomandiamo la
massima priorita' nell'aggiornamento dei sistemi affetti, o nella
mitigazione, qualora non fosse possibile aggiornare.
Di seguito abbiamo aggiunto una sezione con ulteriori nuove informazioni
:: Ulteriori informazioni in continuo aggiornamento
Pensiamo che possano essere utili alla comunita' per essere aggiornati
sulle modalita' dello sfruttamento delle vulnerabilita', di come possiamo
accorgerci se siamo affetti, sia scansionando le macchine che attraverso
la lettura dei log.
:: Software interessato
Librerie Apache Log4j dalla versione 2.0-beta7 fino alla 2.17.0
Nota: le versioni di Log4j v1 non sono piu' supportate e non riceveranno
aggiornamenti pur essendo vulnerabili anche ad ulteriori attacchi RCE
pertanto e' fortemente consigliato aggiornarle alla 2.17.1
:: Impatto
Esecuzione da remoto di codice arbitrario (RCE)
:: Soluzioni
Aggiornare le librerie Apache Log4j all'ultima versione disponibile:
Apache log4j 2.17.1 - Per Java 8 e superiori
Apache log4j 2.12.4 - Per Java 7
Apache Log4j 2.3.2 - Per Java 6
Aggiornare i sistemi affetti che utilizzino le librerie
https://logging.apache.org/log4j/2.x/download.html
:: Ulteriori informazioni in continuo aggiornamento
Numerose fonti e ricercatori di sicurezza ci informano che le vulnerabilita'
Apache Log4j sono intensamente sfruttate da attaccanti malevoli su larga scala.
Visto che la situazione e' in continuo sviluppo e aggiornamento, di seguito
alcune ulteriori informazioni che crediamo possano essere utili alla
comunita', oltre ai bollettini GARR-CERT gia' pubblicati in cui trovare
numerosi riferimenti
https://www.cert.garr.it/it/alert/security-alerts/listid-1/mailid-2417-rettifica-alert-gcsa-21132-vulnerabilita-nelle-librerie-apache-log4j
https://www.cert.garr.it/alert/security-alerts/listid-1/mailid-2422-aggiornamento-alert-gcsa-21132-vulnerabilita-nelle-librerie-apache-log4j-nuova-patch
=== NEW in "Detection"
Ci sono a disposizione due nuovi strumenti per scansionare la vulnerabilita':
1) Moduli NSE appositi per nmap
https://github.com/Diverto/nse-log4shell
2) Un tool che dovrebbe riconoscere tutti i CVE contemporaneamente
https://github.com/logpresso/CVE-2021-44228-Scanner
:: Riferimenti
Apache Log4j
https://logging.apache.org/log4j/2.x/security.html
https://logging.apache.org/log4j/2.x/download.html
CSIRT Italia
https://csirt.gov.it/contenuti/sanata-una-nuova-vulnerabilita-per-apache-log4j-al01-211229-csirt-ita
Openwall - oss-security
https://www.openwall.com/lists/oss-security/2021/12/28/1
Mitre's CVE ID
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44228
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45046
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-45105
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-4104
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-44832
GARR CERT Security Alert - subscribe/unsubscribe:
https://www.cert.garr.it/alert/ricevi-gli-alert-di-cert
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1
iEYEARECAAYFAmHMLZ8ACgkQwZxMk2USYEJX5ACeI/bqzSlpKrwKF//rezC3a1pW
OoIAmgPW2dJwHq48OfyToaJWh7wKJiOQ
=sPKb
-----END PGP SIGNATURE-----