Amazon Linux AMI：log4j (ALAS-2023-1718)

critical Nessus Plugin ID 173936

語系：

概要

遠端 Amazon Linux AMI 主機缺少安全性更新。

說明

遠端主機上安裝的 log4j 版本早於 1.2.17-16.14 版本。因此，會受到 ALAS-2023-1718 公告中所提及的多個弱點影響。

- 當攻擊者具有 Log4j 組態的寫入存取權，或組態參照攻擊者有權存取的 LDAP 服務時，所有 Log4j 1.x 版本中的 JMSSink 都容易受到未受信任資料的還原序列化影響。攻擊者可藉助提供 TopicConnectionFactoryBindingName 組態，造成 JMSSink 以與 CVE-2021-4104 類似的方式執行可導致遠端程式碼執行情形的 JNDI 要求。請注意，此問題只會在特別設定為使用 JMSSink (非預設) 時影響 Log4j 1.x。Apache Log4j 1.2 已於 2015 年 8 月結束其生命週期。使用者應升級至 Log4j 2，因為該版本可解決先前版本中的許多其他問題。(CVE-2022-23302)

- 根據設計，Log4j 1.2.x 中的 JDBCAppender 接受 SQL 陳述式做為組態參數，其中要插入的值是來自 PatternLayout 的轉換器。此情形可能一律包含訊息轉換器 %m。攻擊者可藉此將建構的字串輸入已記錄應用程式的輸入欄位或標頭，進而透過允許執行非預期的 SQL 查詢來操控 SQL。請注意，此問題只會在特別設定為使用 JDBCAppender (非預設) 時影響 Log4j 1.x。
從 2.0-beta8 版開始，JDBCAppender 重新引入，可適當支援參數化 SQL 查詢，並進一步自訂記錄中的欄位。Apache Log4j 1.2 已於 2015 年 8 月結束其生命週期。使用者應升級至 Log4j 2，因為該版本可解決先前版本中的許多其他問題。(CVE-2022-23305)

- CVE-2020-9493 發現 Apache Chainsaw 中存在一個還原序列化問題。早於 V2.0 版本的 Chainsaw 是 Apache Log4j 1.2.x 的一個元件，其中存在相同問題。(CVE-2022-23307)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。