Критическая ошибка джава

Время на прочтение
3 мин

Количество просмотров 46K

Критическая уязвимость в Java, в библиотеке log4j, которая используется в тысячах сервисов, начиная от Minecraft и заканчивая Apple Cloud, быстро превращается в серьезную угрозу для организаций по всему миру. Уязвимости подвержены сервера Apple, Valve, Microsoft и других.

  «Интернет сейчас в огне», — сказал журналистам Адам Мейерс, старший вице-президент компании Crowdstrike, занимающейся кибербезопасностью. — «Люди изо всех сил стараются исправить это, и в то же время самые разные люди пытаются это использовать». В пятницу Мейерс сказал, что за 12 часов, прошедших с момента обнаружения уязвимости, она была «полностью поставлена на вооружение», и злоумышленники разработали и распространили инструменты для ее использования.

Уязвимость позволяет злоумышленникам удаленно выполнять код на уязвимых серверах, давая им возможность импортировать вредоносное ПО, которое может полностью скомпрометировать любые машины.

Уязвимость обнаружена в log4j, библиотеке логирования Java-программ с открытым исходным кодом. Ее используют тысячи игр и приложений, в том числе облачные сервера и корпоративное ПО. Почти каждая сетевая система безопасности запускает какой-то процесс регистрации, что дает огромные возможности популярным библиотекам, таким как log4j. Затронуты все системы и службы, использующие библиотеку логирования Java, Apache Log4j между версиями 2.0 и 2.14.1, включая многие службы и приложения, написанные на Java.

Уязвимость, получившая название «Log4Shell», может стать самой серьезной, обнаруженной за последние годы. Ей подвержены крупные компании и даже сайты правительства стран. С её помощью даже новички в области программирования могут получить доступ к внутренним сетям, где они могут похищать ценную информацию, устанавливать вредоносные программы, стирать важные данные и так далее.

Джо Салливан, директор по безопасности Cloudflare:

Мне сложно представить себе компанию, для которой это не риск. Неисчислимые миллионы серверов работают с log4j, полные последствия не будут известны в течение нескольких дней.

Амит Йоран, гендиректор компании Tenable, занимающейся кибербезопасностью, назвал Log4Shell «самой большой и самой критической уязвимостью последнего десятилетия». «и, возможно, самой большой в истории современных компьютеров».

Уязвимость получила 10 баллов из 10 от Apache Software Foundation, которая курирует разработку ПО. По ее словам, любой, у кого есть информация об эксплойте, может получить полный доступ к незащищенному компьютеру, который использует это программное обеспечение.

По словам экспертов, чрезвычайная легкость, с которой уязвимость позволяет злоумышленнику получить доступ к веб-серверу без пароля, — вот что делает уязвимость настолько опасной.

Одной из первых публично об обнаружении уязвимости рассказала группа реагирования на чрезвычайные компьютерные ситуации Новой Зеландии. Тогда же, в четверг, через несколько часов был выпущен патч. Apache об уязвимости, обнаруженной в её ПО, еще 24 ноября сообщила Alibaba. На разработку и выпуск фикса ушло две недели.

Хотя патч сейчас и выпущен, мало кто знает о наличии уязвимости (за исключением злоумышленников), поэтому многие сервера остаются уязвимыми. Так, как сообщает LunaSec, уже обнаружено, что Steam и iCloud от Apple сейчас уязвимы.

А первые очевидные признаки использования уязвимости появились в Minecraft. Игроки могли включать выполнение программ на компьютерах других пользователей, вставляя короткое сообщение в окно чата.

Эксперт по безопасности Маркус Хатчинс говорит в Твиттере:

Миллионы приложений используют Log4j для ведения журналов, и все, что нужно сделать злоумышленнику — это заставить приложение зарегистрировать специальную строку.

Пока что исследователи обнаружили доказательства того, что уязвимость может быть использована на серверах таких компаний, как Apple, Amazon, Twitter и Cloudflare.

• Апдейт для библиотеки log4j можно найти тут.
• Проверить свои машины на уязвимость можно тут.
• Сообщение от Касперского по поводу уязвимости.

Хотите найти работу в IT? Подключайте себе телеграм-бот getmatch. Указываете зарплату и должность, и он выдает вам лучшие вакансии от компаний. Не нужно ни резюме, ни портфолио, настройка занимает меньше 30 секунд.

В начале недели эксперт по кибербезопасности Alibaba Чен Жаожун обнаружил критическую уязвимость в Java-библиотеке Log4j, которая используется в сотнях тысяч приложений по всему миру. Уязвимость позволяет получить удаленный доступ к серверу, на котором хранится приложение, и запустить на нем произвольный код. Вместе с экспертами разбираемся, почему библиотека так популярна, в чем суть уязвимости и как ее можно устранить.

Что такое Log4j и почему она так популярна

Log4j — часть проекта Apache Logging Project. Это библиотека для логирования, которая помогает анализировать поток выполняющихся инструкций на продакшене или в тестовом окружении. С ее помощью можно пометить все вызовы текстовыми инструкциями — это сильно упрощает процесс локализации проблем.

Библиотеку используют сотни тысяч программ, игр, облачных серверов и корпоративных приложений, в том числе от Amazon, Apple iCloud, Cisco, Cloudflare, ElasticSearch, Red Hat, Steam, Tesla и Twitter. В целом пользователей Log4j можно описать как очень крупные компании, которые по тем или иным причинам не используют актуальные версии Java. Чаще всего это энтерпрайз-сегмент, где любое обновление языка, фреймворка или библиотеки — большая проблема.

В энтерпрайз-сегменте наиболее популярны приложения, разработанные на технологии JavaEE/JakartaEE, а также с использованием Spring. В экосистеме Spring особую популярность последнее время получил фреймворк Boot, в котором в качестве дефолтной библиотеки логирования используется LogBack. Для компаний, которые используют Spring Boot (если не брать в расчет кастомное подключение Log4j2), уязвимость не грозит.

В чем опасность

Уязвимость CVE-2021-44228 (или Log4Shell) относится к классу Remote Code Execution и присутствует только в версиях Log4j с 2.0-beta9 до 2.14.1.

Log4Shell для подключения к серверу использует JNDI (Java Naming and Directory Interface). Это API, которое предоставляет единообразный механизм взаимодействия Java-программы с различными службами имен и каталогов. Зная JNDI-имя LDAP-сервера, базы данных или месседж-брокера, можно получить доступ к ним, используя операцию lookup.

Еще одно уязвимое место касается безопасности строк. Часто бывает так, что переменные раскрываются не только в конфигурационном файле, важном звене взаимодействия с библиотекой логирования, но и в строках. В ситуации с небезопасными строками библиотека сканирует сообщения пользователей и если видит в них исходный код, исполняет его. После этого хакер может загрузить вредоносный код на сервер — исследователи из SecurityLab описывают случаи, когда Log4Shell использовали для майнинга криптовалют или для DDoS-атак.

Составьте свое первое резюме:
Вы можете бесплатно опубликовать свое резюме в нашем сервисе «Хекслет-CV» и получить советы по его улучшению от разработчиков и HR-менеджеров

Что делать с уязвимостью

Лучший совет, который можно дать в сложившейся ситуации — обновить  Log4j до версии 2.15 или Java до версии 11. Если обновление — это проблема, есть несколько альтернативных решений:

• Если приложение использует Log4j и запускается через команду java -d, можно выставить параметру system property значение true: java -Dlog4j2.formatMsgNoLookups=true.
• Еще один вариант — подтянуть текущую настройку из переменных окружения (LOG4J_FORMAT_MSG_NO_LOOKUPS=true). Во втором случае никакие дополнительные параметры выставлять не нужно, они автоматически подтянутся из окружения.

Несколько более сложных решений описаны здесь.

Выводы

Большинство уязвимостей возникают в старых версиях языков, библиотек и фреймворков, поэтому нужно стараться регулярно обновлять их. Для больших компаний это непозволительная роскошь, но безопасные и не подверженые уязвимостям приложения требуют регулярного повышения версий.

Кроме того, полезно периодически (раз в три-шесть месяцев) проводить аудит безопасности систем, которые эксплуатируются в продакшене. Не менее важно следовать рекомендациям, которые содержатся в отчетах службы безопасности. Это помогает выявлять общие проблемы и справляться со срочными изменениями (правда, с некоторыми ограничениями).

Никогда не останавливайтесь:
В программировании говорят, что нужно постоянно учиться даже для того, чтобы просто находиться на месте. Развивайтесь с нами — на Хекслете есть сотни курсов по разработке на разных языках и технологиях

Язык Javaпозволяет программисту описывать
алгоритм обработки ошибок как обработку
«бросаемых» исключений. Исключение
— это попросту название некоторой ошибки.
При возникновении ошибки происходит
бросок исключения и возникает прерывание.JVMпроизводит поиск метода,
обрабатывающего прерывание. Если
обработка прерывания не указана, то
происходит ошибка времени выполнения.

Для генерации
исключения в языке Javaиспользуется операторthrow.
Операторthrowпрерывает
для указанного исключения выполнение
программы. Управление передается
соответствующему обработчику исключений.

Для обработки
сгенерированного какой либо функцией
исключения используется группа операторов
tryиcatch.
Операторtryопределяет
блок, для которого возможен перехват
исключений. Операторcatchопределяет перехватываемое исключение
и блок обработки этого исключения. Для
одного блокаtryможет быть
указано несколькоcatch-
блоков обработки исключений.

try
{

if
(i==0) { throw new Exeptioni;} //Бросок исключения

}

catch(Exeptioni
e){

System.out.printin(«Перехвачено
исключение
Exeptioni»);

}

catch
(Exeption2 e) {

}

catch
(Exeption3 e) {

}

В качестве
перехватываемого исключения может
выступать как исключение, определенное
в JDK, так и исключение,
созданное программой.

Любое исключение
— это объект, являющийся экземпляром
класса Exeption. Для определения
своего собственного исключения следует
только объявить класс для этого
исключения.

class
Exeptioni extends Exeption {…} // Объявление.исключения

public
void MeMetod () throws Exeptioni, Exeption2 { …}

// Исключение

// объявляется, но
не перехватывается

Любое исключение,
возникающее при выполнении метода,
должно быть объявлено или перехвачено.
Если исключение перехватывается, то
управление передается соответствующему
блоку catchвнутри метода.
Если исключение объявляется, то управление
будет передано «вниз» по иерархии
вызовов методов методу, обрабатывающему
это исключение.

3. Ввод/вывод данных в консольном режиме.

Для вывода данных
в консольном режиме используется функция
из пакета System. Этот пакет
автоматически подключается любым
компиляторомJava.

• System.out.print(объект)-
  выводит строку текста на экран, курсор
  остается на текущей строке;

• System.out.println(объект)
  – выводит строку теста, курсор переходит
  на следующую строку;

С вводом информации
с клавиатуры дело обстоит сложнее,
поскольку системный пакет имеет только
объект связанный с потоком ввода. Для
того, чтобы ввести информацию с клавиатуры
нам необходимо связать этот объект с
объектом выполняющим чтение потока.
Для этого необходимо подключить класс
java.io.InputStreamReader,
который обеспечивает преобразование
данных потока в текстовую информацию.
Вся работа с файлами и потоками ввода
вывода в случае ошибки генерирует так
называемые исключительные ситуации
для обработки которых необходимо
подключить класс обработчик исключений
ввода-выводаjava.io.IOException.

Наиболее простым
в примером ввода информации с клавиатуры
является ввод строки текста. Пример
программного кода имеет следующий вид:

//
Объявляем переменную в которой будет
помещен

//
результат ввода информации

String
a;

//
Определяем блок обработки исключительных
ситуаций

try
{

//
Объявляем и создаем объект преобразования
данных потока

//
В
текстовой
вид

InputStreamReader
is=new InputStreamReader(System.in);

//
Объявляем текстовой буфер, длина которого
соответствует

//
максимальной длине строки.

char
buf[]
= new
char[128];

//
После этого в этот буфер производим
чтение

is.read(buf);

//
Этот буфер мы преобразовываем к строке

a=String.valueOf(buf);

//
После этого закрываем блок обработки
исключительных ситуаций.

}

//
И описываем поведение системы в случае
возникновения

//
ошибки при чтении данных

catch
(IO
Exception
e)
{

System.out.println(e.getMessage());

a
= null;

}

Для ввода числовой
информации также необходимо сначала
получить строку текста, после чего с
помощью класса преобразователя
преобразуется к значению числового
типа. Для исполнения данной операции
необходимо подключить библиотеку
обработки ошибок преобразования чисел
java.lang.NumbericFormatExceptionи класс – оболочку типа данных, к которой
необходимо преобразоватьjava.lang.Double;

//
Объявляем переменную в которой будет
помещен

//
результат ввода информации

double
a;

//
Определяем блок обработки исключительных
ситуаций

try{

//
Объявляем и создаем объект преобразования
данных потока

//
В
текстовой
вид

InputStreamReader
is = new InputStreamReader(System.in);

//
Объявляем текстовой буфер, длина которого
соответствует

//
максимальной длине строки.

char
buf[]
= new
char[128];

//
После этого в этот буфер производим
чтение

is.read
(buf);

//преобразовываем
к вещественному типу

a=Double.valueOf(String.valueOf(buf).trim()).double
Value();

//
После этого закрываем блок обработки
исключительных ситуаций.

}

//
описываем поведение системы в случае
возникновения

//
ошибки при чтении данных

catch
(IOException
e){

System.out.println(e.getMessage());

a
= 0;

}

//
описываем поведение системы в случае
возникновения

//
ошибки при преобразовании текстовых
данных в

//
вещественное
число

catch
(NumbericFormatException e1) {

System.out.println
(e1.getMessage());

a=0;

}

Поскольку чтение
данных с клавиатуры, является достаточно
часто используемой операцией, то для
удобства в программе обычно создают
функции для операций, которые выполняются
неоднократно. Рассмотрим это на примере:

import
java.io.IOException;

import
java.io.InputStreamReader;

import
java.lang.NumbericFormatReader;

import
java.lang.Double;

//
объявляем класс

Class
m_cls
{

//
создаем функцию чтения строки

public
String
read_str()
{

//
Объявляем переменную в которой будет
помещен

//
результат ввода информации

String
a;

//
Определяем блок обработки исключительных
ситуаций

try
{

//
Объявляем и создаем объект преобразования
данных потока

//
В
текстовой
вид

InputStreamReader
is=new InputStreamReader(System.in);

//
Объявляем текстовой буфер, длина которого
соответствует

//
максимальной длине строки.

char
buf[]
= new
char[128];

//
После этого в этот буфер производим
чтение

is.read(buf);

//
Этот буфер мы преобразовываем к строке

a=String.valueOf(buf);

//
После этого закрываем блок обработки
исключительных ситуаций.

}

//
И описываем поведение системы в случае
возникновения

//
ошибки при чтении данных

catch
(IO
Exception
e)
{

System.out.println(e.getMessage());

a
= null;

}

if
(a = = null) return “”;

return
a.trim();

}

//
и функцию чтения вещественного числа

public
double
read_double()
{

//
Объявляем переменную в которой будет
помещен

//
результат ввода информации

double
a
= 0;

//
Определяем блок обработки исключительных
ситуаций

try
{

a=Double.valueOf(read_str()).doubleValue();

}

//
И описываем поведение системы в случае
возникновения

//
ошибки при чтении данных

catch
(NumbericFormatException
e){

System.out.println(e.getMessage());

a=0;

}

return
a;

}

}

Соседние файлы в папке СПО

• #
• #
• #

public static void main(String[] args) {
    hereWillBeTrouble(42, 0);
}

public static void hereWillBeTrouble(int a, int b) {
    int oops = a / b;
    System.out.println(oops);
}

static void notGood() {
    System.out.println("Только не снова!");
    notGood();
}

public static void main(String[] args) {
    hereWillBeTrouble(42, 0);
}

public static void hereWillBeTrouble(int a, int b) {
    System.out.println("Всё, что было до...");
    int oops = a / b;
    System.out.println(oops);
    System.out.println("Всё, что будет после...");
}

public static void main(String[] args) {
    hereWillBeTrouble();
}

private static void hereWillBeTrouble(int a, int b) {
    int oops;
    try {
        System.out.println("Всё, что было до...");
        oops = a / b;
        System.out.println(oops);
        System.out.println("Всё, что будет после...");
    } catch (ArithmeticException e) {
        System.out.println("Говорили же не делить на ноль!");
        oops = 0;
    }
    System.out.println("Метод отработал");
}

public static void main(String[] args) {
    hereWillBeTrouble(42, 0);
}

private static void hereWillBeTrouble(int a, int b) {
    if (b == 0) {
        throw new ArithmeticException("ты опять делишь на ноль?");
    }
    int oops = a / b;
    System.out.println(oops);
}

Научитесь: Профессия Java-developer PRO
Узнать больше