Ett nolldagsfel i Log4j skapar betydande sårbarheter i flera applikationer inklusive Minecraft

En kritisk nolldag hittades i Log4j som gjorde det möjligt för angripare att utföra attacker med fjärrkodexekvering.

Flera tjänster anses nu vara sårbara, båda Minecraft
än Steam via Apple iCloud.

Ett kritiskt fel som är lätt att utnyttja

Log4j är ett loggningsverktyg utvecklat av Apache Foundation och används i många molnprogram och tjänster, vilket är anledningen till att nolldagsfelet som påverkar det är så kritiskt. Initialt rapporterades till Apache av Alibaba Cloud-säkerhetsteamet så tidigt som den 24 november, denna brist definieras nu som CVE-2021-44228. Det tillåter angripare att skapa skadliga förfrågningar för att exekvera kod på distans och ta full kontroll över en server, allt utan autentisering.

Över en natt publicerades flera bevis på hur det fungerar. Efter detta rapporterades det att flera illvilliga aktörer skannade internet efter sårbara system att attackera. ” På grund av den enkla exploateringen och den breda tillämpbarheten misstänker vi att grupper av ransomware kommer att börja utnyttja denna sårbarhet omedelbart. sa Randori Attack Team.

Många ansökningar berörda

För tillfället är det komplicerat att ha en komplett lista över berörda applikationer, felet påverkar standardkonfigurationerna för många Apache-ramverk, oavsett om Apache Struts2, Apache Solr, Apache Druid, Apache Flink och andra. Randori Attack Team förutspår att en ” ett ökande antal sårbara produkter kommer att upptäckas under de kommande veckorna “.

LunaSec
har för sin del bekräftat att Steam, Apple iCloud och Minecraft var sårbara. Flera webbplatser dedikerade till Minecraft rapporterade att hackare kunde köra kod på distans på servrar eller klienter som kör Java-versionen av spelet genom enkla chattmeddelanden.

Spelarna av Minecraft uppmanas därför att iaktta stor försiktighet, att inte ansluta till okända servrar och att inte kommunicera med spelare som de inte känner. Det rekommenderas att programvara och applikationer som använder Log4j2 uppdaterar till log4j-2.15.0-rc2-bygget, varvid korrigeringen som finns i 2.15.0-rc1-versionen redan har kringgåtts. LunaSec påminner om att liknande brister i Apache Struts hade lett till Equifax-dataläckan 2017.

Källor: Ars-Technica
, Bleeping Computer