Newsgroup: it.comp.sicurezza.varie
Titolo: Il solito articolo sensazionalistico?

https://video.virgilio.it/guarda-video/log4shell-cose-la-nuova-minaccia-informatica-e-perche-fa-paura_bc6286604033001
 
 
Cosa c'è di vero in questo allarme pubblicato su 
virgilio.it
?
Ciao.

 Ciao.
 
di vero in un articolo di 
virgilio.it
 non c'è mai nulla.
 
è una vulnerabilità che è stata scoperta su una libreria molto comune 
nelle applicazioni java e che è stata giustamente classificata a severity 
massima. ma quello che c'è scritto in quell'articolo e in altri di 
testate non specializzate è solo una montagna di puttanate. l'impatto è 
in particolare su chi manutiene applicazioni server java, la fix è già 
disponibile così come il workaround entrambi facilmente applicabili, 
inoltre il rischio reale (non potenziale) è circoscritto a determinate 
condizioni. l'utente comune non ha motivo di agitarsi non c'è nessuna 
apocalisse alle porte.

 non c'è nessuna apocalisse alle porte.
 
Concordo, per quanto riguarda lo 0-Day, qui ci sono links e dettagli
 
https://arstechnica.com/information-technology/2021/12/minecraft-and-other-apps-face-serious-threat-from-new-code-execution-bug/
 
 
https://www.cyberkendra.com/2021/12/worst-log4j-rce-zeroday-dropped-on.html
 
 
senza troppi sensazionalismi :)
 
 
 
 
 

 
https://www.cyberkendra.com/2021/12/worst-log4j-rce-zeroday-dropped-on.html
 
 
anche
 
https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/
 
 
 


si la vulnerabilità è sicuramente molto critica per la disarmante 
facilità con cui può essere sfruttata. ma il punto è che la versione di 
log4j interessata, la 2.x, non è poi così diffusa come lasciano ad 
intendere. log4j è usatissimo ma quasi esclusivamente nella versione 1.x.
io stesso su decine e decine di progetti non ho dovuto toccare nulla.
 
certo oh, per gli addetti ai lavori uno 0-day del genere è un gran bel 
casotto, ma questo storytelling è abbastanza fuori luogo imho.

 bel casotto, ma questo storytelling è abbastanza fuori luogo imho.
 
Confermo !
 
 
 
 
 


Ma chissà quanti device con firmware non aggiornabile ci saranno (e 
resteranno) in giro con questa vulnerabilità... Come fai ad aggiornare 
qualcosa che non è più supportato ma ti serve (probabilmente non sai 
nemmeno che abbia questo bug).
Non sarà catastrofico ma comunque resta una falla "non da niente", giusto?
Questo tipo di problema dovrebbe far riflettere i produttori di hw a 
livello globale.

Rispondo qui sotto a ObiWan

Anche io credo che non sarà una apocalisse, comunque ho appena 
verificato che quel file log4j*.bin è facile sia presente anche nei pc, 
dato che i sw di Sogei per pagare iva e tasse utilizzano java.
 
Penso ai commercialisti...
 
Ma anche ai privati: io ho quel file nei backup dei mesi scorsi avendo 
utilizzato uno di quei sw,  mentre ovviamente non c'è nel pc che ha un 
win10 reinstallato da zero 10-15gg fa senza ava.
 
 
Info qui
https://edge9.hwupgrade.it/news/security/i-consigli-di-kaspersky-per-affrontare-la-vulnerabilita-log4shell_103237.html
 
 
e qui per il fix
https://www.apache.org/dyn/closer.lua/logging/log4j/2.16.0/apache-log4j-2.16.0-bin.zip
 

 pc, dato che i sw di Sogei per pagare iva e tasse utilizzano java.
 
Il che non implica che il file sia un problema, lo è nel caso in cui il
modulo sia installato su un server web esposto su internet, in quel
caso, sfruttando la vulnerabilità sarebbe possibile ottenere una shell
sul server, ma nel caso di un SW desktop il problema non si pone
 

 sul server, ma nel caso di un SW desktop il problema non si pone
 
Sicuramente è così, ma perchè quel file è presente come plugin del sw 
java dell'Agenzia delle entrate adatto a girare sui pc?
 
Non può quel file essere usato dall'agenzia delle entrate proprio per 
avere un log degli errori e delle azioni svolte dal pc nel momento in 
cui è connesso (cioè esposto su internet) ai loro server?
 
Su questi temi sono assolutamente ignoranete!

 dato che i sw di Sogei per pagare iva e tasse utilizzano java.
 
dovrebbe essere un *.jar, non un *.bin.
 
inoltre è la versione 2 ad essere affetta. la versione la vedi spesso nel 
nome del file, ma più esattamente nel manifest del jar.
 
inoltre non è detto che sia un jar separato, dipende da come è 
distribuita l'applicazione.
 
realisticamente poi bisogna vedere se e come è exploitabile. una 
applicazione web lo è certamente, così come una applicazione server. una 
applicazione client è molto meno scontato. perché se per far partire 
l'exploit l'attaccante deve modificare il programma allora a quel punto 
vale tutto; a quel punto non ha bisogno di passare dal log4j per fare un 
jndi lookup e eseguire codice arbitrario, modifica il codice può farlo 
direttamente, come può ovviamente fare cose molto più gravi.
 
beninteso, non è assolutamente una falla da poco, anzi, è enorme. ma la 
sua pericolosità è quando *dall'esterno* si può iniettare il codicillo 
che, dato in pasto al log4j, produce l'exploit. questo in una 
applicazione web può essere verissimo e di una semplicità disarmante, per 
una applicazione desktop non altrettanto. 
 

 una applicazione desktop non altrettanto. 
 
Grazie, sei stato chiarissimo.

 cui è connesso (cioè esposto su internet) ai loro server?
 
Credo che "rootkit" abbia già chiarito la cosa; ad ogni modo tu hai un
CLIENT che si connette ad un SERVER, è il server che è esposto, non il
client :) e, per quanto riguarda quale uso faccia il client del modulo
di logging, lo ignoro, potrebbe essere usato per il logging locale o
magari non essere usato per niente ed essere stato incluso solo per
disattenzione, ma in entrambi i casi, non credo rappresenti un problema
come credo abbia chiaramente spiegato "rootkit"
 
 

 resteranno) in giro con questa vulnerabilità... 
 
Device con un (web)server esposto su internet ? Non dico non ci siano,
ma... no, il vero problema è un altro, ma preferisco non parlarne per
il momento, dato che è totalmente ipotetico
 

Rispondo qui sotto a ObiWan
 
 

Grazie anche a te, già il tuo post era chiaro ed esplicativo, e 
l'aggiunta di rootkit ha eliminato le mie residue curiosità.

 log4j-1.2.14.jar
 
perfetto, non è interessata dalla vulnerabilità.
come dicevo la 1.x è quella largamente e storicamente più diffusa. pochi 
sono passati alla 2.x quando la 1.x è stata deprecata, e i progetti 
greenfield on prevalenza sono andati su altre librerie.


https://www.dday.it/redazione/41361/log4shell-e-ufficialmente-la-piu-grave-falla-informatica-degli-ultimi-10-anni-milioni-di-attacchi-negli-ultimi-giorni
 
 


tipo router e firewall, così a naso
o qualche bella telecamerina, così ricominciamo coi DDoS mondiali.

 o qualche bella telecamerina, così ricominciamo coi DDoS mondiali.
 
già :(
 
https://businessinsights.bitdefender.com/technical-advisory-zero-day-critical-vulnerability-in-log4j2-exploited-in-the-wild
 
 
https://isc.sans.edu/forums/diary/RCE+in+log4j+Log4Shell+or+how+things+can+get+bad+quickly/28120/