دانلود نرم افزار مشکل امنیتی log4j
بازدید: 56
دیدگاه: 0
نویسنده: سافت ابزار
تاریخ انتشار: ۱۰ خرداد ۱۴۰۳
31 مرداد 1403 در 12:28 ب.ظ
چند روزی هست که یه مشکل امنیتی در کتابخانه بسیار محبوب log4j پیدا شده. کتابخونه log4j که یکی از صدها محصول بنیاد Apache هست، به برنامه نویسان جاوا اجازه میده که گزارش هاشون رو به صورت مجتمع، بدون نیاز به کدنویسی مجزا و با یه قالب واحد داشته باشن. این مشکل امنیتی که اجازه Remote Code Execution رو به حمله کننده میتونه بده دارای بالاترین حد خطر یعنی 10 از 10 هست.
نرم افزار مشکل امنیتی
تقریباً هر نرم افزار جاوایی که یه سرویسی رو توی شبکه ارائه میده از این کتابخونه استفاده می کنه تا بتونه برای مدیران شبکه و مدیران سیستم لاگ بگیره. بنابراین اگه از یه سرویس بر اساس جاوا استفاده میکنید، حتماً مستندات تولید کننده نرم افزارتون رو مطالعه کنید تا ببینید تولید کننده چه پیشنهادی داده و در اولین فرصت Patch یا Update ارائه شده برای رفع مشکل رو دریافت و نصب کنید.
تمام شرکت های بزرگ نرم افزاری دنیا از جمله VMware و Adobe و ManageEngine و … با مسئله درگیر هستن و دارن روی راه حلی برای نرم افزارهاشون کار میکنن و مستمراً دارن مانیتور میکنن تا ببینن آیا مشکلی برای کاربرانشون ایجاد شده یا خیر.
غول اینترنتی Cloudflare هم با تمام توانش جلوی حملات ایستاده و سعی میکنه که کابرانش رو در برابر این حفره محافظت کنه.
راه حل خود Apache این هست که به نسخه 2.16 (یا 2.12.2 برای جاوا 7) آپگرید کنید، اما با توجه به اینکه آسیب پدیری مربوط به یه کتابخونه هست که به عنوان بخشی از یه نرم افزار دیگه براتون نصب شده باید صبر کنید تا تولید کننده نرم افزار اون رو براتون آپگرید کنه. اگه از نرم افزاری استفاده می کنید که به دلایلی دیگه آپدیت نمیشه کل کلاس آسیب پذیر رو حذف کنید:
zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class
به طور خاص مثلاً VMware vCenter آسیب پذیر هست و VMware داره روی یه Patch برای رفع مشکل کار میکنه.
چون حفره مربوط به JNDI یا همون Java Naming and Directory Interface هست، پیشنهاد فعلی Adobe برای محصول Connect این هست که فعلاً LDAP Lookup رو غیرفعال کنید.
شرکت های بزرگ دیگه ای مثل HPE و Dell و … هم دارن محصولاتشون رو بررسی میکنن و همگی صفحاتی از وب سایتشون رو اختصاص دادن که پیشرفت کارِ بررسی رو به کاربرانشون اطلاع میده.
ما هم به نوبه خودمون محصولات مختلف رو رصد میکنیم و به محض ارائه شدن وصله امنیتی اون رو در اختیار همراهان و همکاران عزیز خواهیم گذاشت.
در این بازه زمانی که تولید کننده ها وصله های امنیتی شون رو آماده می کنن، حتی المقدور با محدود کردن دسترسی سرویس های آسیب پذیر و ایجاد امکان اتصال صرفاً برای موارد ضروری؛ Attack Surface مربوط به این سرویس ها رو به حداقل برسونید.
ازتون سپاسگزار میشیم اگر در بخش نظرات سرویس های آسیب پذیر، راه حل ها و تجربیاتتون رو با سایر همکاران به اشتراک بذارید.
آپاچی Log4j یک ابزار منبع باز توسعه یافته توسط معروف بنیاد نرم افزار آپاچی است که اجازه می دهد تا توسعه دهندگان تماشای جنبه های مختلف از نرم افزار و / یا وب سایت جاوا است.
در Log4j ایده آل برای در حال اجرا ثبت و ردیابی شغل برای برنامه های کاربردی، اجازه دادن به توسعه دهندگان ضبط آنچه در زمان اجرا اتفاق می افتد و ذخیره آن برای تجزیه و تحلیل بعد و اشکال زدایی است.
در بسیار برای بسیاری از توسعه دهندگان است که تا کنون با جاوا کار کرده اند مهم است، این کتابخانه آثار با استفاده از مجموعه ای از اجزای ساده است.
در اجزای (کلاس های جاوا) برای مدیریت پیکربندی ورود به سیستم، ورود به سیستم فیلتر وجود دارد، و عملیات ورود به سیستم خود را.
در پشتیبانی از سطوح ورود به سیستم کلاسیک گنجانده شده است، همراه با امکان اضافه رویدادها ورود به سیستم جدید و فیلتر در زمان اجرا بر اساس برنامه تحول است.
اخیراً یک آسیب پذیری روز صفر (Zero Day) بحرانی در کتابخانه log4j مربوط به Apache یافت شده است و از آن‌جایی که این کتابخانه کاربرد بسیاری دارد، آسیبپذیری مذکور بخش بزرگی از اینترنت را تحت تاثیر خود قرار می‌دهد. در واقع با توجه به اینکه این کتابخانه با زبان جاوا پیاده‌سازی شده است، تقریباً هر سروری که از زبان جاوا استفاده می‌کند (نسخه‌های ۲.۱۴.۱ و پیش از آن کتابخانه log4j و نسخه‌های جاوای پیش از ۶u212، ۷u202، ۸u192 و ۱۱.۰.۲)، آسیب‌پذیر است.
در برخی موارد برنامه به‌طور مستقیم از کتابخانه log4j استفاده نمی‌کند اما ممکن است برخی زیرساخت‌های آن اعم از سرور برنامه، سرور پایگاه داده یا دستگاه های شبکه از این کتابخانه استفاده کنند که کاربر را در معرض خطر این آسیبپذیری قرار می‌دهد, لذا به کاربران توصیه می‌شود هرچه سریعتر نسبت به بروزرسانی سرور‌های آسیب‌پذیر اقدام کنند. ( به‌روزرسانی به نسخه rc2- 2.15.0 و جاوا نسخه ۸u121 )
این آسیبپذیری با شناسه CVE-2021-44228 شناخته شده و دارای شدت بحرانی ۱۰ از ۱۰ است. این آسیبپذیری از راه دور و بدون احراز هویت قابل بهره برداری است و مهاجم با بهره‌‌برداری موفق از این آسیبپذیری قادر است کد دلخواه خود را در سرور‌های آسیب‌پذیر اجرا نماید. آسیبپذیری CVE-2021-44228 در حال حاضر تحت بهره‌‌برداری فعال قرار دارد.
پی نوشت 1: شرکت Adobe برای نرم افزار Adobe Connect خودش یه Patch ارائه داده که برای نسخه های 10.1 به بعد قابل استفاده هست و از اینجا می تونید دریافتش کنید. _ سافت ابزار
تریلر
اطلاعات فایل
- سال انتشار : 2024
- پلتفرم: ویندوز
- ورژن : 2024
- فرمت : rar
- حجم فایل : -
باکس دانلود
اگه احیاناً مایل هستید بیشتر راجع به این حفره های امنیتی مطالعه کنید، شماره CVE های مربوطه به قرار زیر هست:
گزارش نسخه جدید
گزاش خرابی لینک
+
راهنمای دانلود
برای دانلود، به روی عبارت “دانلود فایل” کلیک کنید و منتظر بمانید تا پنجره مربوطه ظاهر شود سپس محل ذخیره شدن فایل را انتخاب کنید و منتظر بمانید تا دانلود تمام شود.
اگر نرم افزار مدیریت دانلود ندارید، پیشنهاد می شود برای دانلود فایل ها حتماً از یک نرم افزار مدیریت دانلود و مخصوصاً internet download manager استفاده کنید.
در صورت بروز مشکل در دانلود فایل ها تنها کافی است در آخر لینک دانلود فایل یک علامت سوال ? قرار دهید تا فایل به راحتی دانلود شود.
فایل های قرار داده شده برای دانلود به منظور کاهش حجم و دریافت سریعتر فشرده شده اند، برای خارج سازی فایل ها از حالت فشرده از نرم افزار Winrar و یا مشابه آن استفاده کنید.
کلمه رمز جهت بازگشایی فایل فشرده عبارت softabzar.com می باشد. تمامی حروف را میبایستی به صورت کوچک تایپ کنید و در هنگام تایپ به وضعیت EN/FA کیبورد خود توجه داشته باشید همچنین بهتر است کلمه رمز را تایپ کنید و از Copy-Paste آن بپرهیزید.
چنانچه در هنگام خارج سازی فایل از حالت فشرده با پیغام CRC مواجه شدید، در صورتی که کلمه رمز را درست وارد کرده باشید. فایل به صورت خراب دانلود شده است و می بایستی مجدداً آن را دانلود کنید. البته فایل های حجیم دارای قابلیت ریکاوری هستند که با استفاده از نرم افزار Winrar وارد منو Tools شوید و گزینه Repair را انتخاب کنید تا مشکل فایل دانلود شده حل شود.
فایل های کرک به دلیل ماهیت عملکرد در هنگام استفاده ممکن است توسط آنتی ویروس ها به عنوان فایل خطرناک شناسایی شوند در این گونه مواقع به صورت موقت آنتی ویروس خود را غیر فعال کنید.
دیدگاه خود را با سایر بازدیدکنندگان این مطلب به اشتراک بگذارید. در ارسال دیدگاه به قوانین زیر توجه کنید.